[06.21]缉毒卫队质量样本（2X）

学雷锋做人

密码：infected

VirusTotal：https://www.virustotal.com/zh-cn ... 100426b86/analysis/
VirusTotal：https://www.virustotal.com/zh-cn ... f4f958505/analysis/

文件B超：https://www.b-chao.com/index.php ... 6BC79F1EA/ajax/demo
文件B超：https://www.b-chao.com/index.php ... 0C253269753E46B011D

pal家族

卡巴拉黑
UDSx2

3801187

文件名: [06.21]缉毒卫队.exe
威胁名称: SONAR.Heuristic.142完整路径: 不可用

____________________________

____________________________


在电脑上 
2016/6/21 ( 21:32:00 )

上次使用时间 
2016/6/21 ( 21:32:00 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


[06.21]缉毒卫队.exe 威胁名称: SONAR.Heuristic.142
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
[06.21]缉毒卫队.exe

____________________________

文件操作

文件: c:\users\administrator\desktop\ [06.21]缉毒卫队.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\Sandbox_Administrator_DefaultBox\machine\system\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\ Catalog_Entries 不需要操作
____________________________

网络操作

事件: 网络活动 (执行者 c:\users\administrator\desktop\[06.21]缉毒卫队.exe, PID:6540) 未采取操作
事件: 网络活动 (执行者 c:\users\administrator\desktop\[06.21]缉毒卫队.exe, PID:6284) 未采取操作
____________________________

系统设置操作

事件: 浏览器进程启动 (执行者 c:\users\administrator\desktop\[06.21]缉毒卫队.exe, PID:6540) 未采取操作
(执行者 c:\users\administrator\desktop\[06.21]缉毒卫队.exe, PID:6540) 未采取操作
事件: 进程启动: c:\users\administrator\desktop\ [06.21]缉毒卫队.exe, PID:6540 (执行者 c:\users\administrator\desktop\[06.21]缉毒卫队.exe, PID:6540) 未采取操作
事件: 浏览器进程启动 (执行者 c:\users\administrator\desktop\[06.21]缉毒卫队.exe, PID:6284) 未采取操作
事件: 进程启动: c:\users\administrator\desktop\ [06.21]缉毒卫队.exe, PID:6284 (执行者 c:\users\administrator\desktop\[06.21]缉毒卫队.exe, PID:6284) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

qqddliu

【1】2016-06-21 21:37:41,系统防护,自定义防护,[06.21]缉毒卫队.1x.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
触犯规则：●星火●【注册表保护】〖高危、恶意设置〗服务提升权限
操作类型：创建
操作注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【2】2016-06-21 21:37:36,系统防护,自定义防护,[06.21]缉毒卫队.1x.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
触犯规则：●星火●【注册表保护】〖驱动及服务〗服务相关注册表 安装服务会修改此项
操作类型：创建
操作注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【3】2016-06-21 21:37:35,防火墙,联网控制,[06.21]缉毒卫队.1x.exe触犯网络防护规则，已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
命令行  ："C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe"
网络动作：外联 TCP 154.35.32.5:443
本地地址：0.0.0.0:4429
用户操作：已阻止
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【4】2016-06-21 21:37:29,系统防护,自定义防护,[06.21]缉毒卫队.1x.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
触犯规则：●星火●【注册表保护】〖风险设置〗 Winlogon注册表
操作类型：创建
操作注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【5】2016-06-21 21:37:23,系统防护,自定义防护,[06.21]缉毒卫队.1x.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
触犯规则：●星火●【注册表保护】〖浏览器相关〗浏览器的项目，IE工具栏
操作类型：创建
操作注册表：HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\PhishingFilter
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【6】2016-06-21 21:37:05,防火墙,联网控制,[06.21]缉毒卫队.1x.exe触犯网络防护规则，已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
命令行  ："C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe"
网络动作：外联 TCP 86.59.21.38:443
本地地址：0.0.0.0:4426
用户操作：已阻止
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
【7】2016-06-21 21:35:57,系统防护,自定义防护,[06.21]缉毒卫队.1x.exe触犯 , 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
触犯规则：●星火●【应用程序保护】〖风险程序〗
操作类型：执行
C:\WINDOWS\explorer.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【8】2016-06-21 21:35:55,系统防护,自定义防护,svchost.exe触犯自定义文件防护规则, 已阻止

操作进程：C:\WINDOWS\system32\svchost.exe
触犯规则：●星火●【文件保护】〖风险目录〗阻止创建系统预读文件
操作类型：创建
操作文件：C:\WINDOWS\Prefetch\[06.21]缉毒卫队.1X.EXE-38B87BAB.pf
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【9】2016-06-21 21:35:51,系统防护,自定义防护,[06.21]缉毒卫队.1x.exe触犯自定义文件防护规则, 已忽略

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.1x.exe
触犯规则：●星火●【文件保护】〖常用目录〗 通常存放一些应用程序所需的数据文件。允许创建除可执行文件之外的其他所有文件。
操作类型：创建
操作文件：C:\Documents and Settings\All Users\Application Data\usaqusokaqyjiwun
用户操作：已忽略

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
1x阻止联网，变成死马。
【1】2016-06-21 21:38:56,系统防护,自定义防护,[06.21]缉毒卫队.2x.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.2x.exe
触犯规则：●星火●【注册表保护】〖高危、恶意设置〗服务提升权限
操作类型：创建
操作注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【2】2016-06-21 21:38:53,系统防护,自定义防护,[06.21]缉毒卫队.2x.exe触犯自定义注册表防护规则, 已阻止

操作进程：C:\Documents and Settings\Administrator\桌面\[06.21]缉毒卫队.2x.exe
触犯规则：●星火●【注册表保护】〖驱动及服务〗服务相关注册表 安装服务会修改此项
操作类型：创建
操作注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
2x动作不多，目前没联网。

追影子的十三

小红伞，两个APC均杀

230f4

Bitdefender当前0/2

双击：

缉毒卫队.1x.exe在C:\ProgramData\下创建usaqusokaqyjiwun文件夹和anapafuc文件，
anapafuc被砍掉，缉毒卫队.1x.exe未发现联网活动，源文件被砍掉

缉毒卫队.2x.exe触发Ransomware Protection，源文件被砍掉

Eset小粉絲

TR/AD.TorrentLocker.Y.crnu Trojan

TR/Crypt.Xpack.opwq Trojan

欧阳宣

gdata检测1个

Win32.Trojan-Ransom.Torrentlocker.SEXMO9 (Engine B)

曲中求

心醉咖啡

火绒kill1