天朝流氓你值得拥有

3801187

诸葛亮

SONAR居然能杀流氓


文件名: jilbchlabgha.exe
威胁名称: SONAR.Heuristic.142完整路径: 不可用

____________________________

____________________________


在电脑上 
2016/6/11 ( 20:49:32 )

上次使用时间 
2016/6/11 ( 20:49:32 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


jilbchlabgha.exe 威胁名称: SONAR.Heuristic.142
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
jilbchlabgha.exe

____________________________

文件操作

文件: c:\users\l\desktop\jilbchlabgha\ jilbchlabgha.exe 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\local\temp\nsf1c55.tmp\ 1.ico 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\local\microsoft\windows\inetcache\ counters.dat 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\local\microsoft\windows\inetcache\ie\2qs96imv\ cityjson[1].txt 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\local\temp\nsf1c55.tmp\ 1.zip 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\local\temp\nsf1c55.tmp\ nsg6a57.tmp 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\local\microsoft\windows\inetcookies\ 6li0q2yi.txt 威胁已删除
目录: c:\Sandbox\L\defaultbox\user\current\AppData\Local\Temp\ nsf1C55.tmp 需要重新启动
____________________________

网络操作

事件: 网络活动 (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:8548) 未采取操作
事件: 网络通信上检测到 Symantec IDS 特征 (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:8548) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:5376) 未采取操作
事件: 进程启动: c:\users\l\desktop\jilbchlabgha\ jilbchlabgha.exe, PID:5376 (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:5376) 未采取操作
事件: 进程启动 (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:8548) 未采取操作
事件: PE 文件创建: c:\Sandbox\L\defaultbox\user\current\AppData\Local\Temp\nsf1C55.tmp\ System.dll (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:8548) 未采取操作
事件: 进程启动: c:\users\l\desktop\jilbchlabgha\ jilbchlabgha.exe, PID:8548 (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:8548) 未采取操作
事件: PE 文件创建: c:\sandbox\l\defaultbox\user\current\appdata\local\microsoft\windows\inetcache\ie\l9xdj9zc\ vneqb7en_tn_channel1_2016-05-29_14-42-09_87_3.3.2.1028_1202000538[1].exe (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:8548) 未采取操作
事件: PE 文件创建: c:\sandbox\l\defaultbox\user\current\appdata\local\temp\nsf1c55.tmp\ 56a190le_1202000538.exe (执行者 c:\users\l\desktop\jilbchlabgha\jilbchlabgha.exe, PID:8548) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

心醉咖啡

毒霸理所应当不杀

pal家族

11.06.2016 21.24.39;检测到的对象 ( 文件 ) 已删除;D:\360安全浏览器下载\jilbchlabgha\jilbchlabgha.exe;WinRAR 压缩文件管理器;D:\360安全浏览器下载\jilbchlabgha\jilbchlabgha.exe;06/11/2016 21:24:39;UDS:DangerousObject.Multi.Generic

卡巴拉黑

qqddliu

创建RWX内存
对一些具体的运行中的进程呈现出兴趣
对一个无法找到的进程进行重复搜索，可能希望以startbrowser=1选项运行
从文件自身的二进制镜像中读取数据
一个进程创建了一个隐藏窗口
文件已被至少一个VirusTotal上的反病毒引擎检测为病毒
投放出一个二进制文件并执行它
发起了一些HTTP请求
二进制文件可能包含加密或压缩数据
查询磁盘信息，可能被用来实现反虚拟机
可能进行了时间有效期检查，检查本地时间后过早退出
尝试断开连接或更改Cuckoo监控的Windows功能
从本地网络浏览器中窃取个人信息
网络活动包含了一个以上的不重复的用户代{过}{滤}理
将自己装载到Windows开机自动启动项目
创建一个隐藏文件或系统文件
通过注册表键检测VMware系统
尝试修改代{过}{滤}理设置
尝试更改浏览器安全设置
连接到一台IRC服务器, 可能是僵尸网络的一部分

qqddliu

这货还能检测虚拟机，用虚拟机很多动作就不出现了。
操作进程：C:\Documents and Settings\Administrator\桌面\jilbchlabgha.exe
触犯规则：●星火●【注册表保护】〖自启动〗延迟删除/替换一个文件
操作类型：写入
操作注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
用户操作：已阻止
操作进程：C:\Documents and Settings\Administrator\桌面\jilbchlabgha.exe
触犯规则：●星火●【文件保护】〖重要文件〗系统启动需要的重要文件，防止破坏和删除
操作类型：创建
操作文件：C:\WINDOWS\wininit.ini
用户操作：已阻止

NS02

FSCS(Y)版

蓝天二号

释放了400多M的文件。。。

轩夏

微软 miss

saga3721

文件 ID         文件名         大小(字节)         结果
28823034         jilbchlabgha.rar         116.76 KB         OK

以下位置提供了存档中包含的文件及其结果的列表:
文件 ID         文件名         大小(字节)         结果
28823035         jilbchlabgha.exe         147.51 KB         UNDER ANALYSIS