File name: neth.dll Detection ratio: 3 / 55 对不起，Dan大神，我是来打脸的

墨家小子

SHA256:        2e6bb1073243ac96c0fc92e134bb311c8bdd65117a4a8ad5e65cb481ec43ab34
File name:        neth.dll
Detection ratio:        3 / 55
Analysis date:        2016-03-23 02:01:38 UTC ( 3 minutes ago )
https://www.virustotal.com/en/file/2e6bb1073243ac96c0fc92e134bb311c8bdd65117a4a8ad5e65cb481ec43ab34/analysis/1458698498/

AVG        Win32/Heim        20160322
Bkav        HW64.packed.1559        20160322
McAfee-GW-Edition        BehavesLike.Win64.PWSZbot.fc        20160323

哪一只上报给AVG的，还能不能愉快玩耍了！！！！！

SHA256:        76564dfc4e97c1713198ccf6d11f9b09f58561455fc01ababa848dac1b1826a8
File name:        TMP102F.exe
Detection ratio:        3 / 55
Analysis date:        2016-03-23 02:01:46 UTC ( 3 minutes ago )
https://www.virustotal.com/en/file/76564dfc4e97c1713198ccf6d11f9b09f58561455fc01ababa848dac1b1826a8/analysis/1458698506/

AhnLab-V3        Win-Trojan/Lockycrypt.Gen        20160322
Baidu        Win32.Trojan.WisdomEyes.151026.9950.9974        20160322
Qihoo-360        QVM07.1.Malware.Gen        20160323

胖福

墨家小子 发表于 2016-3-23 11:40
我特么也是谷歌来着，谁没事记这玩意啊，过几天我连自己发过什么样本都记不得了

好吧，
rundll32.exe "样本全路径",exp

regsvr32.exe "样本全路径"

zqmm100

FS DG杀了

ymb668888

扫描miss，双击卡巴主防拦截
23.03.2016 10.24.30;恶意程序已删除;PDM:Trojan.Win32.Generic;C:\Users\Administrator\Downloads\病毒测试\TMP102F.exe;c:\users\administrator\downloads\病毒测试\tmp102f.exe;03/23/2016 10:24:30
23.03.2016 10.24.30;恶意程序已删除;PDM:Trojan.Win32.Generic;C:\Users\Administrator\Downloads\病毒测试\TMP102F.exe;c:\users\administrator\downloads\病毒测试\tmp102f.exe;03/23/2016 10:24:30
23.03.2016 10.24.30;恶意程序已删除;PDM:Trojan.Win32.Generic;C:\Users\Administrator\Downloads\病毒测试\TMP102F.exe;c:\sandbox\administrator\defaultbox\user\current\documents\cmyoip.exe;03/23/2016 10:24:30
23.03.2016 10.24.30;恶意程序已删除;PDM:Trojan.Win32.Generic;C:\Users\Administrator\Downloads\病毒测试\TMP102F.exe;c:\sandbox\administrator\defaultbox\user\current\documents\cmyoip.exe;03/23/2016 10:24:30
23.03.2016 10.24.13;恶意程序已终止;PDM:Trojan.Win32.Generic;Kicking Fragmented Ineptitude;C:\Sandbox\Administrator\DefaultBox\user\current\Documents\cmyoip.exe;03/23/2016 10:24:13
23.03.2016 10.24.13;检测到恶意程序;PDM:Trojan.Win32.Generic;Kicking Fragmented Ineptitude;c:\sandbox\administrator\defaultbox\user\current\documents\cmyoip.exe;03/23/2016 10:24:13
23.03.2016 10.24.13;检测到恶意程序;PDM:Trojan.Win32.Generic;Kicking Fragmented Ineptitude;c:\sandbox\administrator\defaultbox\user\current\documents\cmyoip.exe;03/23/2016 10:24:13
23.03.2016 10.24.13;检测到恶意程序;PDM:Trojan.Win32.Generic;Kicking Fragmented Ineptitude;c:\users\administrator\downloads\病毒测试\tmp102f.exe;03/23/2016 10:24:13
23.03.2016 10.24.13;检测到恶意程序;PDM:Trojan.Win32.Generic;Kicking Fragmented Ineptitude;c:\users\administrator\downloads\病毒测试\tmp102f.exe;03/23/2016 10:24:13
2

欧阳宣

不是，你这话说的，从来也没人上报给百度啊

胖福

日志过长，与层主沟通无效，特代为编辑，如有异议请去投诉区投诉
附上未编辑之前的截图，仅加入代码框以及本段提示文字，除此以外保留原楼层内容


[mw_shl_code=css,true]文件名: eloyfe.exe
威胁名称: SONAR.SelfHijack!gen1
完整路径: 不可用
____________________________

详细信息
极少用户信任的文件,  极新的文件,  风险 高

原始
下载自
 未知

活动
已执行的操作: 132
____________________________

在电脑上的创建时间 
2016-3-23 ( 11:09:30 )

上次使用时间 
2016-3-23 ( 11:09:30 )

启动项目 
是

已启动 
是
____________________________

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

来源: 外部介质

源文件:
eloyfe.exe
____________________________

文件操作

文件: c:\users\administrator\documents\ eloyfe.exe 已删除
文件: c:\users\administrator\documents\ +recover+file.txt 已删除
文件: c:\$recycle.bin\s-1-5-21-1429125506-3924845992-1376771031-500\ +-help-recover-+yecjt-+.png 已删除
文件: c:\$recycle.bin\s-1-5-21-1429125506-3924845992-1376771031-500\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\$recycle.bin\s-1-5-21-1429125506-3924845992-1376771031-500\ +-help-recover-+yecjt-+.html 已删除
文件: c:\$recycle.bin\s-1-5-21-336758412-234705439-161296717-500\ +-help-recover-+yecjt-+.png 已删除
文件: c:\$recycle.bin\s-1-5-21-336758412-234705439-161296717-500\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\$recycle.bin\s-1-5-21-336758412-234705439-161296717-500\ +-help-recover-+yecjt-+.html 已删除
文件: c:\$recycle.bin\ +-help-recover-+yecjt-+.png 已删除
文件: c:\$recycle.bin\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\$recycle.bin\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\cs-cz\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\cs-cz\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\cs-cz\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\da-dk\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\da-dk\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\da-dk\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\de-de\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\de-de\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\de-de\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\el-gr\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\el-gr\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\el-gr\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\en-us\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\en-us\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\en-us\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\es-es\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\es-es\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\es-es\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\fi-fi\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\fi-fi\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\fi-fi\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\fonts\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\fonts\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\fonts\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\fr-fr\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\fr-fr\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\fr-fr\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\hu-hu\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\hu-hu\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\hu-hu\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\it-it\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\it-it\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\it-it\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\ja-jp\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\ja-jp\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\ja-jp\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\ko-kr\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\ko-kr\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\ko-kr\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\nb-no\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\nb-no\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\nb-no\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\nl-nl\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\nl-nl\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\nl-nl\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\pl-pl\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\pl-pl\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\pl-pl\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\pt-br\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\pt-br\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\pt-br\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\pt-pt\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\pt-pt\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\pt-pt\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\ru-ru\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\ru-ru\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\ru-ru\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\sv-se\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\sv-se\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\sv-se\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\tr-tr\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\tr-tr\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\tr-tr\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\zh-cn\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\zh-cn\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\zh-cn\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\zh-hk\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\zh-hk\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\zh-hk\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\zh-tw\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\zh-tw\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\zh-tw\ +-help-recover-+yecjt-+.html 已删除
文件: c:\boot\ +-help-recover-+yecjt-+.png 已删除
文件: c:\boot\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\boot\ +-help-recover-+yecjt-+.html 已删除
文件: c:\config.msi\ +-help-recover-+yecjt-+.png 已删除
文件: c:\config.msi\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\config.msi\ +-help-recover-+yecjt-+.html 已删除
文件: c:\users\ +-help-recover-+yecjt-+.png 已删除
文件: c:\users\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\users\ +-help-recover-+yecjt-+.html 已删除
文件: c:\dosh\ghos\ +-help-recover-+yecjt-+.png 已删除
文件: c:\dosh\ghos\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\dosh\ghos\ +-help-recover-+yecjt-+.html 已删除
文件: c:\dosh\ +-help-recover-+yecjt-+.png 已删除
文件: c:\dosh\ +-help-recover-+yecjt-+.txt 已删除
文件: c:\dosh\ +-help-recover-+yecjt-+.html 已删除
事件: 正在运行进程: c:\users\administrator\documents\ eloyfe.exe 已终止
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Run->+++fpng 已删除
注册表更改: HKEY_USERS\.DEFAULT\Software\ trueimg 已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\trueimg\ 已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveTime:1458702606 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\ trueimg->ID 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveSkin:... 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\ FC87CB271ADD7863 已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\ FC87CB271ADD7863->data 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Run->+++fpng 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ System->EnableLinkedConnections 已删除
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ eloyfe_RASAPI32 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ eloyfe_RASMANCS 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ eloyfe_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 c:\users\administrator\documents\eloyfe.exe, PID:3004) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\administrator\documents\eloyfe.exe, PID:3800) 未采取操作
事件: 进程启动: c:\users\administrator\documents\ eloyfe.exe, PID:3004 (执行者 c:\users\administrator\documents\eloyfe.exe, PID:3800) 未采取操作
事件: 进程启动 (执行者 c:\users\administrator\documents\eloyfe.exe, PID:3004) 未采取操作
事件: 进程启动: c:\users\administrator\documents\ eloyfe.exe, PID:3800 (执行者 c:\users\administrator\documents\eloyfe.exe, PID:3800) 未采取操作
(执行者 c:\users\administrator\documents\eloyfe.exe, PID:3004) 未采取操作
____________________________

可疑操作

事件: 击键捕获 (执行者 c:\users\administrator\documents\eloyfe.exe, PID:3004) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
[/mw_shl_code]

墨家小子

胖福 发表于 2016-3-23 11:15
文件名: eloyfe.exe
威胁名称: SONAR.SelfHijack!gen1
完整路径: 不可用

你运行那个dll文件了？

胖福

墨家小子 发表于 2016-3-23 11:22
你运行那个dll文件了？

是的！

墨家小子

胖福 发表于 2016-3-23 11:30
是的！

你比我幸运，我第一次开着SSF+诺顿声纳中招的，压根没杀到这个DLL文件

墨家小子

胖福 发表于 2016-3-23 11:30
是的！

对了，dll被拦截都没有日志什么的，你是怎么运行dll的

胖福

墨家小子 发表于 2016-3-23 11:32
你比我幸运，我第一次开着SSF+诺顿声纳中招的，压根没杀到这个DLL文件

我觉得首先要确定诺顿云是否正常，22版的云在我这经常秒断，基本无法测试任何样本；其次如果直接进毒网诺顿未必真的能杀得了这俩DLL，毕竟执行dll的不一定就是rundll32！