道高一尺，魔高一丈，加密样本天天变

tgzw1680

蜘蛛已死，有事烧纸。。。话说fsp 拦截点是oem了bd的吗。。。。

MXCERILYF!

卡巴
信誉

扫描miss

双击

现已拉黑

欧阳宣

https://www.virustotal.com/en/fi ... nalysis/1458776357/

ccboxes

FSP的DeepGuard是自研的，是带有云联动的主防。

胖福

文件名: 1.exe
威胁名称: SONAR.Heuristic.142
完整路径: 不可用
____________________________

详细信息
极少用户信任的文件,  极新的文件,  风险 高

原始
下载自
 未知

活动
已执行的操作: 23
____________________________


在电脑上的创建时间 
2016-3-24 ( 07:10:20 )

上次使用时间 
2016-3-24 ( 07:10:20 )

启动项目 
否


已启动 
是
____________________________

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

来源: 外部介质

源文件:
1.exe
____________________________

文件操作

文件: f:\norton样本\临时收集\ 1.exe 已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\ Al6e6G2er6 已删除
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 1_RASAPI32 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 1_RASMANCS 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\临时收集\1.exe, PID:2332) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\1.exe, PID:2332) 未采取操作
(执行者 f:\norton样本\临时收集\1.exe, PID:2332) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 1.exe, PID:2332 (执行者 f:\norton样本\临时收集\1.exe, PID:2332) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\1.exe, PID:2332) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

275751198

轩夏

eset
Win32/Kryptik.ESFB

dongwenqi

MXCERILYF! 发表于 2016-3-24 05:49
卡巴
信誉

不错，非常赞

jmekoda1

大蜘珠不是防加密一流的吗，

这样就漏了啊~~~

ericdj

GD主防拦截



但是查看SBie里面的文件夹，还是有db文件，xml文件，docx文件和txt文件（至少这几种）被加密了


一部分日志
[mw_shl_code=css,true]

*** Actions ***

The program establishes a network connection.


*** Quarantine ***

The following files were moved into quarantine:
C:\Sandbox\Administrator\suspicious\user\current\Desktop\virus\1.exe
c:\sandbox\administrator\suspicious\drive\e\baidu download\_help_instructions.txt
c:\sandbox\administrator\suspicious\drive\e\baiduyundownload\ansys 15.0 x32\ansys 15.0.full.permanent.license.cluster.2014.1231.fixed\_help_instructions.txt
c:\sandbox\administrator\suspicious\drive\e\baiduyundownload\ansys 15.0 x32\ansys 15.0.full.permanent.license.cluster.2014.1231.fixed\a69cdfffad15a50f041811486c9acfff.locky
c:\sandbox\administrator\suspicious\drive\e\baiduyundownload\ansys 15.0 x32\ansys 15.0.full.permanent.license.cluster.2014.1231.fixed\license使用说明.txt
c:\sandbox\administrator\suspicious\drive\e\dtlfolder\driversdownload\_help_instructions.txt
c:\sandbox\administrator\suspicious\drive\e\files\_help_instructions.txt

The following registry entries were deleted:

\registry\user\sandbox_administrator_suspicious\user\current\software\microsoft\windows\currentversion\internet settings\connections || savedlegacysettings

YGLRJ5fsBywnJycnJgYtJ6hygiomBi4n2nKSKyeHcCp0koomdJKKJiYGt3KSiiYnqWhiYpArFn1ykC4nKiYmJwrKcqJiYnKioC0nJycnJgaNcqJiYnKicNZycnJyYmJw2HJycnJiYnC6cqFcY7aCcsFeY7ZycqFcY7ZycNtycnJyYmJw/HKiYmJyonCOcnLJfnD/coImJ2hiYoCWcqKA+3JycnJiYoBscqJyomJiAAA

"C:\Sandbox\Administrator\suspicious\user\current\Desktop\virus\1.exe"
MD5: 06CEF8007449001082D60F4E93A0AF2B
"C:\Program Files\Sandboxie\Start.exe" /box:__ask__ "C:\Sandbox\Administrator\suspicious\user\current\Desktop\virus\1.exe"

[/mw_shl_code]