恶意推广程序下载者，过NOD32和360

wyy0303

一个恶意推广程序下载者，NOD32和360最新病毒库均无反应。

哈博文件分析：https://habo.qq.com/file/showdetail?pk=ADcGZV1kB2QIPls6
360官方微博的头条文章分析：http://weibo.com/ttarticle/p/show?id=2309403986645253769629

fzshot

Malwarebytes Anti-Malware

Files: 1
Trojan.Downloader.QQ, C:\Users\Cheng\Desktop\1\1.exe, , [6c85679ae3b7b77fcc7b59cad927dd23],

胖福

文件名: 1.exe
威胁名称: SONAR.Heuristic.148完整路径: 不可用

____________________________

____________________________


在电脑上 
2016-6-30 ( 12:48:47 )

上次使用时间 
2016-6-30 ( 12:48:47 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


1.exe 威胁名称: SONAR.Heuristic.148
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
1.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ 1.exe 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ 1.ico 威胁已删除
文件: c:\users\administrator\appdata\local\microsoft\windows\temporary internet files\content.ie5\r3j2c2ao\ cityjson[1].txt 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ 1.zip 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ nsh63d3.tmp 威胁已删除
目录: c:\Users\administrator\AppData\Local\Temp\ nsb3E96.tmp 需要重新启动
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 1_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 1_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 1_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
事件: 网络通信上检测到 Symantec IDS 特征 (执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Local\Temp\nsb3E96.tmp\ System.dll (执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
(执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 1.exe, PID:6004 (执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\microsoft\windows\temporary internet files\content.ie5\n4wow4oa\ rav3490001[1].exe (执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\temp\ rav3490001.exe (执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\1.exe, PID:6004) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

蓝天二号

McAfee

ELOHIM

Windows Defender 已采取措施保护此计算机免受恶意软件或其他潜在垃圾软件的侵害。
请参阅以下详细信息:
http://go.microsoft.com/fwlink/? ... 03&enterprise=0
        名称: Trojan:Win32/Spursint.A!cl
        ID: 2147705703
        严重性: 严重
        类别: 特洛伊木马
        路径: file:_C:\ProgramData\Microsoft\Windows Defender\Scans\FilesStash\4E680E11-E316-BD1E-5A81-4652E51236A0_1d1d355464fec48;file:_C:\Users\*\Downloads\1.zip;webfile:_C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{4922DD6E-E90B-4E60-A8A5-83B9B489EB90}-4E680E11-E316-BD1E-5A81-4652E51236A0_1d1d355464fec48|browser_broker.exe;webfile:_C:\ProgramData\Microsoft\Windows Defender\Scans\FilesStash\4E680E11-E316-BD1E-5A81-4652E51236A0_1d1d355464fec48|http://att.*.cn/forum.php?mod=attachment&aid=Mjc5NzQ4Mnw1NGIxMDVmM3wxNDY3MjYyNzI0fDY2NTU5OXwyMDQ2Njc4|browser_broker.exe;webfile:_C:\Users\*\Downloads\1.zip|http://att.*.cn/forum.php?mod=attachment&aid=Mjc5NzQ4Mnw1NGIxMDVmM3wxNDY3MjYyNzI0fDY2NTU5OXwyMDQ2Njc4|browser_broker.exe
        检测来源: Internet
        检测类型: 快速路径
        检测源: 下载和附件
        用户: NT AUTHORITY\SYSTEM
        进程名称: Unknown
        操作: 隔离
        操作状态:  No additional actions required
        错误代码: 0x00000000
        错误描述: 操作成功完成。
        签名版本: AV: 1.225.32.0, AS: 1.225.32.0, NIS: 116.10.0.0
        引擎版本: AM: 1.1.12902.0, NIS: 2.1.12706.0

nick20010117

开开心心卖手机

卡巴云杀

dongwenqi

nick20010117 发表于 2016-6-30 13:11

感谢测试

dongwenqi

开开心心卖手机 发表于 2016-6-30 13:14
卡巴云杀

感谢对卡巴斯基的支持

nick20010117

dongwenqi 发表于 2016-6-30 13:18
感谢测试

我想问一下，UDS不参与扫描吗？
另外，我的卡巴在解压后没有报毒，我在日志里才看到被杀了，这是什么原因？