境外一枚样本

驭龙

bbszy 发表于 2016-6-20 00:07
趋势officescan 扫描双击均miss

OS不适合双击，跟个人版是没法比的，没有云封锁和UMH，所以双击很弱

魔卡卡

https://www.maldun.com/analysis/ ... UwOWRzZmFzZGZhc2Rm/
报告本身没什么新鲜的，但是相似分析倒是抓到一个Kovter：http://wubingdu.cn/kovter-ransomware/

学雷锋做人

魔卡卡 发表于 2016-6-20 10:07
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxMzUwOWRzZmFzZGZhc2Rm/
报告本身没什么新鲜的，但是相 ...

这是结果回复帖，请不要无意义回复！

阿里小白帽

瑞星MISS 好压报毒

bbszy

驭龙 发表于 2016-6-20 10:07
OS不适合双击，跟个人版是没法比的，没有云封锁和UMH，所以双击很弱

貌似有个简易的hips？就是对什么系统关键部位的修改会有提示，我在控制端设置的是“必要的时候提示”。但是好像没有什么效果。

XZ8SM7Sx0bVkoUV

生命在于运动 发表于 2016-6-19 23:46
小红伞 火绒检测不出来， 双击没反应，只有你的检测工具可以检测出来

你确认用火绒扫描过?为什么我这里报毒.

，就一个.

文件名: azkspl.exe
威胁名称: SONAR.Ransom.AK!gen1完整路径: 不可用

____________________________

____________________________


在电脑上 
2016/6/20 ( 12:41:26 )

上次使用时间 
2016/6/20 ( 12:41:26 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


azkspl.exe 威胁名称: SONAR.Ransom.AK!gen1
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
winrar.exe

创建的文件:
azkspl.exe

____________________________

文件操作

文件: e:\迅雷下载\azkspl\ azkspl.exe 威胁已删除
事件: 正在运行进程: e:\迅雷下载\azkspl\ azkspl.exe 已终止
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-3690176447-2747503649-2754238131-500\SOFTWARE\ sPPCiQtgOQ, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-3690176447-2747503649-2754238131-500\SOFTWARE\ bklzxwz, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-3690176447-2747503649-2754238131-500\SOFTWARE\ lRiV3TgdT, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-3690176447-2747503649-2754238131-500\SOFTWARE\ pj9T0JP19, 注册表配置单元: 64 位 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:1396) 未采取操作
(执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:1396) 未采取操作
事件: 进程启动: e:\迅雷下载\azkspl\ azkspl.exe, PID:1272 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:1396) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:1272) 未采取操作
事件: 进程启动: e:\迅雷下载\azkspl\ azkspl.exe, PID:1396 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:1396) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:4668) 未采取操作
(执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:4668) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:5028) 未采取操作
(执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:5028) 未采取操作
事件: 进程启动: e:\迅雷下载\azkspl\ azkspl.exe, PID:2976 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:4668) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:2976) 未采取操作
事件: 进程启动: e:\迅雷下载\azkspl\ azkspl.exe, PID:4668 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:4668) 未采取操作
事件: 进程启动: e:\迅雷下载\azkspl\ azkspl.exe, PID:2224 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:5028) 未采取操作
事件: 进程启动: e:\迅雷下载\azkspl\ azkspl.exe, PID:5028 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:5028) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:2224) 未采取操作
事件: 进程启动: e:\迅雷下载\azkspl\ azkspl.exe, PID:1272 (执行者 e:\迅雷下载\azkspl\azkspl.exe, PID:1272) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

pal家族

20.06.2016 12.56.43;检测到的对象 ( 文件 ) 已删除;D:\360安全浏览器下载\azkspl\azkspl.exe;WinRAR 压缩文件管理器;D:\360安全浏览器下载\azkspl\azkspl.exe;06/20/2016 12:56:43;Trojan.Win32.Kovter.oty

已经过时效的回复

zq19861019

gdata干掉

jxae

NOD32报Win32/Kovter.C trojan。