8372f504c0fbb63e39a2f8aaf1e090ab

显示全部楼层 · 发表于 2016-9-25 11:27:38

沙盘环境：NIS KILL 1X

文件名: 6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe
威胁名称: SONAR.Heuristic.154完整路径: 不可用

____________________________

____________________________

在电脑上
2016/9/25 ( 11:23:44 )

上次使用时间
2016/9/25 ( 11:23:44 )

启动项
否

已启动
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________

6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe 威胁名称: SONAR.Heuristic.154
定位

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

____________________________

来源: 外部介质

源文件:
6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe

____________________________

文件操作

文件: c:\users\m\desktop\新建文件夹\2x\2x\ 6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe 威胁已删除
____________________________

网络操作

事件: 网络活动 (执行者 c:\users\m\desktop\新建文件夹\2x\2x\6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe, PID:10620) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\m\desktop\新建文件夹\2x\2x\6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe, PID:10620) 未采取操作
事件: 进程启动: c:\users\m\desktop\新建文件夹\2x\2x\ 6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe, PID:10620 (执行者 c:\users\m\desktop\新建文件夹\2x\2x\6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe, PID:10620) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2016-9-25 11:59:11

本帖最后由 ytysh 于 2016-9-25 12:03 编辑

CrowdStrike Falcon (ML) malicious_confidence_97% (W) 20160725
Invincea trojan.win32.skeeyah.a!rfn 20160917
Sophos Mal/MSIL-BA 20160925

BD Free Kill 1X

Scan Results
The Virus Shield detected one infected item.
Scan Results
File Name Infection Action
C:\Users\ytyab\Desktop\2x\6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe Backdoor.Generic.1000116 Moved to Quarantine

显示全部楼层 · 发表于 2016-9-25 12:18:47

mcafee kill all

显示全部楼层 · 发表于 2016-9-25 12:29:45

诸葛亮发表于 2016-9-25 11:27
沙盘环境：NIS KILL 1X

文件名: 6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.ex ...

你的诺顿没有杀那个c7e开头的样本吗？这不正常啊，哪有企业版干掉，个人版pass的情况啊

显示全部楼层 · 发表于 2016-9-25 12:29:47

扫描时间：[2016-09-25 12:29:17]
扫描用时：[00:00:05]
扫描类型：自定义查杀
扫描文件总数：2
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2016-09-25 12:29:32]
威胁：f:\浏览器下载\2x\6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe
类型：win32.hack.undef.(kcloud)
处理方式：删除

显示全部楼层 · 发表于 2016-9-25 12:57:33

BD

6f32dab7f51cd2484c6bf9b303860b4d04bcdce77a4b5003e59d9c93815c2f1c.exe Backdoor.Generic.1000116

c7efd7df593c66b463df1f7533c4de99b5a37e3486f9424c807c82779dc00b7a.exe 双击ATC杀

显示全部楼层 · 发表于 2016-9-25 12:57:45

第一个样本衍生物以及本体全部被干掉，完美回滚

第二个样本需要NET3.5，下载完成后，样本运行很久，什么反应都没有
@驭龙，我这里机器学习没有杀这个样本，SONAR也没反应

显示全部楼层 · 发表于 2016-9-25 12:58:24

本帖最后由诸葛亮于 2016-9-25 13:03 编辑

驭龙发表于 2016-9-25 12:29
你的诺顿没有杀那个c7e开头的样本吗？这不正常啊，哪有企业版干掉，个人版pass的情况啊

现在还是不杀，，很无奈啊

看了楼上的回复发现，这个机器学习很玄学啊

而且SONAR 报发也不一样啊，第一个样本nis 是SONAR.Heuristic.154，楼上的是SONAR.Heuristic.143

显示全部楼层 · 发表于 2016-9-25 13:02:26

诸葛亮发表于 2016-9-25 12:58
现在还是不杀，，很无奈啊

没啥奇怪的，c7e那个在我这里ADVML杀，另一个是SONAR杀

[其他相关] 8372f504c0fbb63e39a2f8aaf1e090ab

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源