与求助者核实后证实此样本不是MBR敲竹杠，可能只是盗号木马，还是实机运行警告吧

zhou0197

样本：http://pan.baidu.com/s/1geCbA75

生成的三个衍生物（文件为隐藏状态）：http://pan.baidu.com/s/1nuIAXi5

密码均为infected


哈勃：https://habo.qq.com/file/showdetail?pk=ADQGb11tB2UIOFs1


虚拟机似乎并未发现篡改MBR行为，但是哈勃发现样本似乎具备反虚拟机检测能力……


目前可能就是个盗号木马吧……


另外照常求大神分析……

XywCloud

反虚拟机能力来自Themida壳，和样本本身无太大关联
随意看了下，似乎是窃取银行/支付宝账号的

学雷锋做人

作者邮箱：jueyinr380@163.com
基本如XywCloud所说，该样本与盗号有关！
母体本身并未发现盗号行为，所释放出的文件非常可疑

打个广告，FD一键去除隐藏属性

由于山河故人.exe出现反虚拟机的问题，所以针对该文件的简单分析如下：
作者这个态度不好

生成一个可疑的doc文件

链接明显看到跳转至支付宝，更多行为就不截图了

嘿嘿嘿

skyboybone

本地kvm引擎

njjsxy

卡吧双击

MXCERILYF!

Norton
扫描被过
双击后单击“端口激活”弹出

病毒（衍生物）发作被SONAR检测


从衍生物回滚到母体

重启后无异常

liulangzhecgr

2016/4/18 15:58:58    创建文件    允许
进程: g:\download\魔兽(2)\魔兽(2).exe
目标: C:\Users\baba\AppData\Local\Temp\山河故人.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016/4/18 15:59:02    创建文件    允许
进程: g:\download\魔兽(2)\魔兽(2).exe
目标: C:\Users\baba\AppData\Local\Temp\care.cc
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/18 15:59:08    创建文件    允许
进程: g:\download\魔兽(2)\魔兽(2).exe
目标: C:\Users\baba\AppData\Local\Temp\winspool.drv
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/18 15:59:51    创建新进程    允许
进程: g:\download\魔兽(2)\魔兽(2).exe
目标: c:\users\baba\appdata\local\temp\山河故人.exe
命令行: C:\Users\baba\AppData\Local\Temp\\山河故人.exe
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/4/18 15:59:59    加载动态链接库    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: c:\users\baba\appdata\local\temp\winspool.drv
规则: [应用程序组]病毒测试 -> [动态链接库]*

2016/4/18 16:00:03    创建新进程    允许
进程: g:\download\魔兽(2)\魔兽(2).exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" -nohome
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/4/18 16:00:12    加载动态链接库    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: c:\users\baba\appdata\local\temp\care.cc
规则: [应用程序组]病毒测试 -> [动态链接库]*

2016/4/18 16:00:18    向其他进程发送消息    允许
进程: g:\download\魔兽(2)\魔兽(2).exe
目标: c:\program files\internet explorer\iexplore.exe
消息: WM_DDE_EXECUTE
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/4/18 16:00:28    加载动态链接库    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: c:\windows\system32\wshom.ocx
规则: [应用程序组]病毒测试 -> [动态链接库]*

2016/4/18 16:00:36    创建文件    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: C:\Users\baba\AppData\Roaming\SogouExplorer\MCPattern3.db
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/18 16:00:41    创建注册表项    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\山河故人_RASAPI32
规则: [应用程序组]病毒测试 -> [注册表]*

2016/4/18 16:00:46    修改注册表值    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\山河故人_RASAPI32\EnableFileTracing
值: 0x00000000(0)
规则: [应用程序组]病毒测试 -> [注册表]*

2016/4/18 16:00:51    创建注册表项    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\山河故人_RASMANCS
规则: [应用程序组]病毒测试 -> [注册表]*

2016/4/18 16:01:13    修改其他进程的线程    允许
进程: c:\windows\system32\services.exe
目标: c:\users\baba\appdata\local\temp\山河故人.exe
规则: [应用程序]c:\windows\system32\services.exe

2016/4/18 16:01:23    访问网络    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: TCP [本机 : 57680] ->  [140.207.62.37 : 80 (http)]
规则: [应用程序组]病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/4/18 16:01:28    创建文件    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: C:\Users\baba\AppData\Roaming\Microsoft\Windows\Cookies\EPJUKCO8.txt
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/18 16:01:34    创建文件    允许
进程: c:\users\baba\appdata\local\temp\山河故人.exe
目标: C:\Users\baba\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\8S2UKODH\weiboguama1100[1].txt
规则: [应用程序组]病毒测试 -> [文件]*

cfhdrty

楼主好多mbr毒啊
ess高启  Win32/Packed.Themida 可疑应用程序 的变种
360扫描miss

轩夏

微软 MISS

轩夏

小红伞 本地库 MISS

JiroMochizuki

趋势简中WIN10 64位实机双击