Trojan-Ransom.Win32.Bitman.xjt

icedream89

ess9

ymb668888

卡巴

nick20010117

HMPA双击
Mitigation   CryptoGuard

Platform     6.1.7600/x86 06_17*
PID          4460
Application  C:\Users\Administrator\Documents\pfdrfledmhuf.exe
Description  US Multinational Keyboard Layout 5.1

Filename     C:\Users\Administrator\Documents\pfdrfledmhuf.exe

C:\Users\Administrator\AppData\Local\Microsoft\Windows Mail\Stationery\Bears.jpg
C:\Users\Administrator\AppData\Local\Microsoft\Windows\GameExplorer\GamesBoxArt\{8828FE02-C672-44A2-A528-D9BE3BB89745}.jpg
C:\$Recycle.Bin\S-1-5-21-4035673165-3688820562-1120568024-500\$RO1K8XD.Png

Process Trace
1  C:\Users\Administrator\Documents\pfdrfledmhuf.exe [4460]
2  C:\Users\Administrator\Desktop\新建压缩(zipped)文件夹 (432)\due.exe [2820]
3  C:\Windows\explorer.exe [960]
4  C:\Windows\System32\userinit.exe [736]

Tomin2009

测扫描多没意思

aboringman

AVG：

扫描：killed；

"";"Trojan horse Generic_r.ILX, C:\Users\killer\Desktop\due.exe";"Unresolved"

双击：关闭监控，实机双击，IDP击杀之。

"";"IDP.Trojan.05270F2E, C:\Users\killer\Documents\raihfmkfujqv.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/4/9, 12:21:19"

"";", C:\USERS\KILLER\DESKTOP\DUE.EXE";"Object was blocked";"Process";"2016/4/9, 12:21:19"

"";", C:\Windows\System32\vssadmin.exe";"Object was blocked";"Process";"2016/4/9, 12:21:19"

"";", C:\Windows\System32\cmd.exe";"Object was blocked";"Process";"2016/4/9, 12:21:19"

"";", C:\USERS\KILLER\DESKTOP\DUE.EXE";"Deleted";"File or Directory";"2016/4/9, 12:21:19"

"";", C:\Users\killer\Documents\raihfmkfujqv.exe";"Object was blocked";"Process";"2016/4/9, 12:21:19"

"";", HKEY_USERS\S-1-5-21-3895625976-2995373382-4201264068-1000\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\BSSIMGCDJARK";"Deleted, Moved to Virus Vault";"Registry value";"2016/4/9, 12:21:19"

nick20010117

aboringman 发表于 2016-4-9 12:24
AVG：

扫描：killed；

HMPA用起来好像挺有意思的，对付勒索也不错，你试过吗？

alex008

Avira

aboringman

nick20010117 发表于 2016-4-9 16:10
HMPA用起来好像挺有意思的，对付勒索也不错，你试过吗？

用来防防Exploit还不错，不过我更爱微软的EMET，虽然没有像HMPA的功能那么多，但已足够。(事实上，防勒索最有效的办法就是做好备份，杀软的主防总会有跪的时候。)

nick20010117

aboringman 发表于 2016-4-9 18:15
用来防防Exploit还不错，不过我&#2 ...

我现在用来用去又回到BG了……
HMPA居然被诺顿杀了
文件名: hmpalert.exe
威胁名称: SONAR.PUA!gen6完整路径: c:\program files\hitmanpro.alert\hmpalert.exe

____________________________

____________________________


在电脑上的创建时间 
2016/4/9 ( 11:08:03 )

上次使用时间 
2016/4/9 ( 11:08:03 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


hmpalert.exe 威胁名称: SONAR.PUA!gen6
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
hmpalert.exe

____________________________

系统设置操作

事件: 进程启动: c:\program files\hitmanpro.alert\ hmpalert.exe, PID:856 (执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:856) 未尝试修复
事件: 进程启动 (执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:5640) 未尝试修复
(执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:5640) 未尝试修复
c:\programdata\microsoft\event viewer\Views\ hmpalert.xml (执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:5640) 未尝试修复
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\HitmanPro.Alert:DisplayVersion (执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:5640) 未尝试修复
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\HitmanPro.Alert:VersionMajor (执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:5640) 未尝试修复
\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\HitmanPro.Alert:VersionMinor (执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:5640) 未尝试修复
____________________________

可疑操作

(执行者 c:\program files\hitmanpro.alert\hmpalert.exe, PID:5640) 未尝试修复
____________________________


文件指纹 - SHA:
e7e3dcbf19e45b4c39ebd5a6da86c69efa37a4badb6aa28bffbd09cfdda2c843
文件指纹 - MD5:
不可用

aboringman

nick20010117 发表于 2016-4-9 18:44
我现在用来用去又回到BG了……
HMPA居然被诺顿杀了
文件名: hmpalert.exe

PUA。。。。。。SONAR这误报也真是有意思。。。。。。