File name: ab36.tmp.exe Detection ratio: 1 / 57 神网新产品 貌似注入svchost

墨家小子

SHA256:        a143f3fdbd38b5e469db7b245a40d9d933293335afca3f2a9f4c6b5135a8815c
File name:        ab36.tmp.exe
Detection ratio:        1 / 57
Analysis date:        2016-04-11 13:18:50 UTC ( 1 minute ago )
https://www.virustotal.com/en/file/a143f3fdbd38b5e469db7b245a40d9d933293335afca3f2a9f4c6b5135a8815c/analysis/

Qihoo-360        QVM07.1.Malware.Gen        20160411


https://virusscan.jotti.org/zh-CN/filescanjob/xkjcql2qdy

神网新产品，似乎是注入svchost，被注入的svchost各种怪异行为，SSF完全没有拦截到木马注入svchost，没让被注入的svchost联网，所以不确定是不是加密勒索木马，好像还会下载一个东西

墨家小子

围观一小波策划选手有什么新的广告词

virustotal排队好困难

ahj000

是不是病毒呢

墨家小子

ahj000 发表于 2016-4-11 21:22
是不是病毒呢

你头像是菊花吗？

rrorr

AVG出站，一段时间后进程消失，源文件消失。重启后Tor请求出站

墨家小子

rrorr 发表于 2016-4-11 21:48
AVG出站，一段时间后进程消失，源文件消失。重启后Tor请求出站

没加密吗？这家伙搞成100多M的大家伙
http://bbs.kafan.cn/thread-2036950-1-1.html

saga3721

红伞云查杀 'TR/Agent.a143f3 (Cloud)' [trojan]

坏脾气的男生

火绒杀

ymb668888

卡巴

胖福

双击过诺顿，但等了10多分钟也没见到注入：

文件名: AB36.tmp.exe
完整路径: F:\Norton样本\临时收集\AB36.tmp.exe
____________________________

详细信息
稳定性未知,  极少用户信任的文件,  极新的文件,  不良

原始
下载自 
未知

活动
已执行的操作: 16
____________________________

启动项目 
否
____________________________

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

不良
有许多迹象表明此文件不可信。
____________________________

源文件:
ab36.tmp.exe
____________________________
____________________________

系统更改

\REGISTRY\MACHINE\Software\Microsoft\Tracing\AB36_RASAPI32
EnableFileTracing
EnableConsoleTracing
FileTracingMask
ConsoleTracingMask
MaxFileSize
FileDirectory
\REGISTRY\MACHINE\Software\Microsoft\Tracing\AB36_RASMANCS
EnableFileTracing
EnableConsoleTracing
FileTracingMask
ConsoleTracingMask
MaxFileSize
FileDirectory
ProxyEnable
SavedLegacySettings
____________________________

文件指纹 - SHA:
a143f3fdbd38b5e469db7b245a40d9d933293335afca3f2a9f4c6b5135a8815c
文件指纹 - MD5:
6e2813ca24b22af5bc87b9d2118fa444




重启再次运行，联网后注入svchost.exe，SONAR杀：
文件名: AB36.tmp.exe
完整路径: F:\Norton样本\临时收集\AB36.tmp.exe
____________________________

详细信息
稳定性未知,  极少用户信任的文件,  极新的文件,  不良

原始
下载自 
未知

活动
已执行的操作: 已执行的操作: 1
____________________________

启动项目 
否
____________________________

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

不良
有许多迹象表明此文件不可信。
____________________________

源文件:
ab36.tmp.exe
____________________________

网络

#  协议 远程连接 端口
1. TCP b4d2v05ab45m.com HTTPS
____________________________

文件指纹 - SHA:
a143f3fdbd38b5e469db7b245a40d9d933293335afca3f2a9f4c6b5135a8815c
文件指纹 - MD5:
6e2813ca24b22af5bc87b9d2118fa444





文件名: ab36.tmp.exe
威胁名称: SONAR.ProcHijack!gen1
完整路径: 不可用
____________________________

详细信息
未知的社区使用情况,  未知的文件存在时间,  风险 高

原始
下载自
 未知

活动
已执行的操作: 59
____________________________

在电脑上的创建时间 
不可用

上次使用时间 
(  )

启动项目 
否

已启动 
是
____________________________

未知
诺顿社区中使用了此文件的用户数 未知。

未知
此文件版本当前 未知。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

来源: 外部介质
____________________________

文件操作

文件: f:\norton样本\临时收集\ ab36.tmp.exe 不需要操作
文件: c:\users\administrator\appdata\local\temp\ kkxkmhezcd580f.tmp 已删除
目录: c:\Users\administrator\AppData\Roaming\ {7ff04f4b-0453-0a9d-b831-be590a457f52} 需要重新启动
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ AB36_RASAPI32 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ AB36_RASMANCS 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ AB36_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\Local Settings\MuiCache\82\ AAF68885->LanguageList:... 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\ {B138F7B0-D7E3-3E3C-89AC-F52A09651056} 已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\ {B138F7B0-D7E3-3E3C-89AC-F52A09651056}->1 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\ {B138F7B0-D7E3-3E3C-89AC-F52A09651056}->0 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1->0 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\ {B138F7B0-D7E3-3E3C-89AC-F52A09651056}->0:... 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->0 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->0:... 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->4 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->2 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->1 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->6 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->3 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->5 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1->4 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1->2 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1->1 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1->6 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1->3 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 1->5 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\SOFTWARE\Microsoft\ Avalon.Graphics 已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\ Avalon.Graphics->DisableHWAcceleration 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\ Avalon.Graphics->DisableHWAcceleration:1 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Internet Explorer\ Main->UseSWRender 已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Internet Explorer\ Main->UseSWRender:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->3:... 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->4:... 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500_CLASSES\CLSID\{B138F7B0-D7E3-3E3C-89AC-F52A09651056}\ 2->5:... 不需要操作
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
(执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
事件: 进程启动: c:\Windows\System32\ svchost.exe, PID:2648 (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Roaming\{7ff04f4b-0453-0a9d-b831-be590a457f52}\ lxnyltgpp.exe (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\{7ff04f4b-0453-0a9d-b831-be590a457f52}\ rcx5649.tmp (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ ab36.tmp.exe, PID:3132 (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Roaming\ tor.exe (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
事件: 进程启动: c:\Users\administrator\AppData\Roaming\ tor.exe, PID:1008 (执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\ab36.tmp.exe, PID:3132) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用