病毒样本

vm001

样本


衍生物（主要的病毒文件）


感染后，病毒注册服务，以线程方式监视explorer，禁止运行一些安全软件的安装程序和一些ark工具运行（比如pchuntr)
不过样本有点蹉。。。右键管理员身份就可以正常运行工具了

诸葛亮

文件名: wg001.exe
威胁名称: SONAR.Heuristic.154完整路径: 不可用

____________________________

____________________________


在电脑上 
2016/9/17 ( 11:23:39 )

上次使用时间 
2016/9/17 ( 11:23:39 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


wg001.exe 威胁名称: SONAR.Heuristic.154
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
wg001.exe

____________________________

文件操作

文件: c:\users\m\desktop\新建文件夹\wg001\ wg001.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\machine\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ ShellIconOverlayIdentifiers, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\machine\software\Classes\ CLSID, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\MACHINE\SOFTWARE\ WOW6432Node, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\machine\SYSTEM\CurrentControlSet\services\ IRPIIP, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\machine\software\Classes\ Wow6432Node, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\user\current\SOFTWARE\Microsoft\ Windows NT, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\user\current\software\Microsoft\Windows\ CurrentVersion->SETUPTIME, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\user\current\software\Microsoft\Windows\ CurrentVersion->lock, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_M_DefaultBox\user\ current_classes->update, 注册表配置单元: 64 位 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\m\desktop\新建文件夹\wg001\wg001.exe, PID:1340) 未采取操作
(执行者 c:\users\m\desktop\新建文件夹\wg001\wg001.exe, PID:1340) 未采取操作
事件: PE 文件创建: c:\sandbox\m\defaultbox\drive\c\program files\common files\system\ safemonn64.dll (执行者 c:\users\m\desktop\新建文件夹\wg001\wg001.exe, PID:1340) 未采取操作
事件: 进程启动: c:\users\m\desktop\新建文件夹\wg001\ wg001.exe, PID:1340 (执行者 c:\users\m\desktop\新建文件夹\wg001\wg001.exe, PID:1340) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

swizzer

【2】2016-09-17 11:23:03,反病毒,病毒查杀,发现病毒HVM:Trojan/MalBehav.gen!B，删除成功

文件路径：D:\My Documents\Tencent Files\240364538\wg001.exe
病毒名：HVM:Trojan/MalBehav.gen!B
病毒ID：28f381676ab6c721
处理结果：删除成功
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【3】2016-09-17 11:22:17,反病毒,文件下载扫描,发现病毒Trojan/Generic!29B0A97740D5F026, 已清除

操作进程：C:\Documents and Settings\Administrator\Local Settings\Application Data\TheWorld6\Application\TheWorld.exe
文件路径：D:\My Documents\Tencent Files\240364538\System.rar
病毒名：Trojan/Generic!29B0A97740D5F026
病毒ID：29B0A97740D5F026
用户操作：已清除

蓝天二号

AVG



衍生物，火绒 KILL DLL

Microsoftheihei

红伞扫描miss
双击触发apc

pal家族

17.09.2016 13.37.16;Detected object (file) deleted;D:\360安全浏览器下载\wg001\wg001.exe;Windows Explorer;D:\360安全浏览器下载\wg001\wg001.exe;09/17/2016 13:37:16;Trojan-Downloader.Win32.Upatre.ftif

衍生物
17.09.2016 13.37.50;Detected object (file) deleted;D:\360安全浏览器下载\System\safe.dat;D:\360安全浏览器下载\System\safe.dat;HEUR:Trojan.Win32.Agentb.gen

心醉咖啡

衍生物kill

3801187

fireherman

ESET 样本-解压 kill

[mw_shl_code=css,true]2016-9-17 14:41:05        文件系统实时防护        文件        E:\VirZ\wg001.exe        Win32/Agent.XXZ 特洛伊木马 的变种        通过删除清除        RAYMOND-9B1A7AC\Raymond        在应用程序新建的文件上发生事件: C:\Program Files\7-Zip\7zG.exe (95CE9136E708712C2A29EE18BE48DD028018B558).        82CFD719E22A7E6345E468DDAE4C59D381DDFBDC        2016-9-17 14:41:05[/mw_shl_code]

衍生物 扫描 miss

bbszy

mcafee miss