一個樣本

东方妖妖梦

http://url.cn/2DlQLBx
密碼：infected

xyz0703

18.06.2016 06.57.09;检测到的对象 ( 文件 ) 已删除。;D:\Users‘ Documents\Desktop\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr;D:\Users‘ Documents\Desktop\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr;HEUR:Trojan.Win32.Generic

vm001

学雷锋做人

诸葛亮

文件名: eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
威胁名称: SONAR.SuspScr!gen1完整路径: 不可用

____________________________

____________________________


在电脑上 
2016/6/18 ( 8:03:18 )

上次使用时间 
2016/6/18 ( 8:03:18 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr 威胁名称: SONAR.SuspScr!gen1
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr

____________________________

文件操作

文件: c:\users\l\desktop\新建文件夹\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d\ eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\roaming\ldc\ xmh.icm 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\roaming\ldc\ gcq.gfa 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\roaming\ldc\ swk.dat 威胁已删除
文件: c:\sandbox\l\defaultbox\user\current\appdata\roaming\ldc\ vda.dat 威胁已删除
目录: c:\Sandbox\L\defaultbox\user\current\AppData\Roaming\ ldc 需要重新启动
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\l\desktop\新建文件夹\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr, PID:6516) 未采取操作
(执行者 c:\users\l\desktop\新建文件夹\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr, PID:6516) 未采取操作
事件: PE 文件创建: c:\Sandbox\L\defaultbox\user\current\AppData\Roaming\ldc\ mpi.exe (执行者 c:\users\l\desktop\新建文件夹\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr, PID:6516) 未采取操作
事件: 进程启动: c:\Sandbox\L\defaultbox\user\current\AppData\Roaming\ldc\ mpi.exe, PID:9268 (执行者 c:\users\l\desktop\新建文件夹\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr, PID:6516) 未采取操作
事件: 进程启动: c:\users\l\desktop\新建文件夹\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d\ eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr, PID:6516 (执行者 c:\users\l\desktop\新建文件夹\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr, PID:6516) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

qqddliu

【1】2016-06-18 08:52:30,系统防护,自定义防护,svchost.exe触犯自定义文件防护规则, 已阻止

操作进程：C:\WINDOWS\system32\svchost.exe
触犯规则：●星火●【文件保护】〖风险目录〗阻止创建系统预读文件
操作类型：创建
操作文件：C:\WINDOWS\Prefetch\MPI.EXE-33B6A80B.pf
用户操作：已阻止

【2】2016-06-18 08:52:27,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯自定义文件防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【文件保护】〖风险目录〗可执行程序，不信任请阻止
操作类型：创建
操作文件：C:\Documents and Settings\Administrator\Application Data\ldc\mpi.exe
用户操作：已阻止

【3】2016-06-18 08:52:24,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯 , 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【应用程序保护】〖风险程序〗
操作类型：执行
C:\Documents and Settings\Administrator\Application Data\ldc\mpi.exe
用户操作：已阻止

【4】2016-06-18 08:52:22,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯 , 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【文件保护】〖常用目录〗 通常存放一些应用程序所需的数据文件。允许创建除可执行文件之外的其他所有文件。
操作类型：执行
C:\Documents and Settings\Administrator\Application Data\ldc\mpi.exe
用户操作：已阻止

【5】2016-06-18 08:52:21,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯自定义文件防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【文件保护】〖常用目录〗 通常存放一些应用程序所需的数据文件。允许创建除可执行文件之外的其他所有文件。
操作类型：创建
操作文件：C:\Documents and Settings\Administrator\Application Data\ldc\mpi.exe
用户操作：已阻止

【6】2016-06-18 08:52:17,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯自定义文件防护规则, 已忽略

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【文件保护】〖常用目录〗 通常存放一些应用程序所需的数据文件。允许创建除可执行文件之外的其他所有文件。
操作类型：创建
操作文件：C:\Documents and Settings\Administrator\Application Data\ldc\gcq.gfa
用户操作：已忽略

【7】2016-06-18 08:52:12,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯自定义文件防护规则, 已忽略

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【文件保护】〖常用目录〗 通常存放一些应用程序所需的数据文件。允许创建除可执行文件之外的其他所有文件。
操作类型：创建
操作文件：C:\Documents and Settings\Administrator\Application Data\ldc\xmh.icm
用户操作：已忽略

【8】2016-06-18 08:52:06,系统防护,自定义防护,svchost.exe触犯自定义文件防护规则, 已阻止

操作进程：C:\WINDOWS\system32\svchost.exe
触犯规则：●星火●【文件保护】〖风险目录〗阻止创建系统预读文件
操作类型：创建
操作文件：C:\WINDOWS\Prefetch\EAC0BA567BF1A662E1A79906A6913-2A9A743C.pf
用户操作：已阻止

【9】2016-06-18 08:52:01,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯自定义文件防护规则, 已忽略

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【文件保护】〖常用目录〗 通常存放一些应用程序所需的数据文件。允许创建除可执行文件之外的其他所有文件。
操作类型：创建
操作文件：C:\Documents and Settings\Administrator\Application Data\ldc\__tmp_rar_sfx_access_check_1426156
用户操作：已忽略

【10】2016-06-18 08:51:53,系统防护,自定义防护,eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr触犯自定义文件防护规则, 已忽略

操作进程：C:\Documents and Settings\Administrator\桌面\eac0ba567bf1a662e1a79906a6913a9f3405e838a2433ce107f461eb702e961d.scr
触犯规则：●星火●【文件保护】〖常用目录〗 通常存放一些应用程序所需的数据文件。允许创建除可执行文件之外的其他所有文件。
操作类型：创建
操作文件：C:\Documents and Settings\Administrator\Application Data\ldc
用户操作：已忽略

z2009

eis解压秒

追影子的十三

解压，小a秒

shadowqs

蜘蛛11

轩夏

妖刀

Backdoor.MSIL