【双击敢死队何在】模拟操作样本

pal家族

tg123321 发表于 2016-8-16 11:46
样本运行时的确让鼠标动了一下。。。。

点击允许了？这之间可以有鸿沟的

tg123321

pal家族 发表于 2016-8-16 11:47
点击允许了？这之间可以有鸿沟的

从“阻止”转移到了“阻止并结束进程”

pal家族

tg123321 发表于 2016-8-16 11:50
从“阻止”转移到了“阻止并结束进程”

啥意思啊。能不能说清除呀，我这里没有条件呀

电脑发烧友

tg123321 发表于 2016-8-16 11:42
2016-8-16 11:39:51    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\virustest\样本\d ...

2016-8-16 11:40:56    底层键盘操作 (22)    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
规则: [应用程序组]● 行为测试规则

吓得我赶紧拿急救箱扫了扫，日志太多太杂，好歹过滤一下加载DLL

tg123321

pal家族 发表于 2016-8-16 11:53
啥意思啊。能不能说清除呀，我这里没有条件呀

借个别人的图，这是md的报警框，我之前一直把鼠标放在“阻止”上没动过

xcvbaby

毒霸：kill

文件:D:\我的文档\Desktop\样本\DNF超级稳定BUFF辅助.exe
病毒名称:Win32.Troj.Generic_a.a.(kcloud)

pal家族

tg123321 发表于 2016-8-16 11:56
借个别人的图，这是md的报警框，我之前一直把鼠标放在“阻止”上没动过

那不是弄巧成拙了吗？

潜龙在渊1022

ns无压力。

胖福

诺顿关闭启发式检测后双击过了SONAR！

重启后SONAR删除两个衍生物：

文件名: p7_k44665_bbrucpyji9w434uf9gkbfa6usicp2.exe
威胁名称: SONAR.Heuristic.150完整路径: 不可用
____________________________
____________________________

在电脑上 
2016-8-16 ( 13:09:11 )

上次使用时间 
2016-8-16 ( 13:09:11 )

启动项 
是

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

p7_k44665_bbrucpyji9w434uf9gkbfa6usicp2.exe 威胁名称: SONAR.Heuristic.150
定位

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
dnf超级稳定buff辅助.exe

创建的文件:
p7_k44665_bbrucpyji9w434uf9gkbfa6usicp2.exe
____________________________

文件操作

文件: d:\ p7_k44665_bbrucpyji9w434uf9gkbfa6usicp2.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Run->ad 威胁已删除
____________________________

系统设置操作

事件: 进程启动: d:\ p7_k44665_bbrucpyji9w434uf9gkbfa6usicp2.exe, PID:4280 (执行者 d:\p7_k44665_bbrucpyji9w434uf9gkbfa6usicp2.exe, PID:4280) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用




文件名: tao.exe
威胁名称: SONAR.Heuristic.150完整路径: 不可用
____________________________
____________________________
在电脑上 
2016-8-16 ( 13:09:00 )

上次使用时间 
2016-8-16 ( 13:10:45 )

启动项 
是

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________
tao.exe 威胁名称: SONAR.Heuristic.150
定位

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
dnf超级稳定buff辅助.exe

创建的文件:
tao.exe
____________________________

文件操作

文件: d:\ tao.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Run->tao 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ tao_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ tao_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ tao_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用


还有两个衍生物没检测到：

lovelive10010

胖福 发表于 2016-8-16 12:36
诺顿关闭启发式检测后双击过了SONAR！

重启后SONAR删除两个衍生物：

果然还是IDP比较厉害