来自管家论坛的远控木马

vm001

衍生物

蓝胖子1号

SEP14,被机器学习A杀

Nkduyf41940

为什么我的用户组无法下载样本

haoge250

ESET扫描MISS，双击杀了。

qwe12301

胖福

文件名: syntphelpersview.exe
威胁名称: SONAR.Heuristic.154完整路径: 不可用

____________________________

____________________________


在电脑上 
2016-11-17 ( 16:52:48 )

上次使用时间 
2016-11-17 ( 16:52:48 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


syntphelpersview.exe 威胁名称: SONAR.Heuristic.154
定位


极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
hjgfsdegf.tmp

____________________________

文件操作

文件: c:\programdata\microsoft dementias\ syntphelpersview.exe 威胁已删除
文件: f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\ baidu.com 威胁已删除
文件: c:\programdata\ qdeskpath.ini 威胁已删除
文件: c:\users\administrator\appdata\roaming\microsoft\windows\cookies\ zxcg05ny.txt 威胁已删除
文件: c:\programdata\ config.dat 威胁已删除
文件: c:\users\administrator\appdata\roaming\ qq截圖20161117e61da404e6d.jpg 威胁已删除
受感染文件: c:\programdata\ hjgfsdegf.tmp 已删除
目录: c:\programdata\ microsoft dementias 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ SynTPHelpersView_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ SynTPHelpersView_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\EapHost\ Parameters->AuthenticatorInstalled 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\ EapHost->DelayedAutostart 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveTime:1479372820 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveSkin:... 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Direct3D\ MostRecentApplication->Name:XSkyWalker.exe 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveTime:1479372828 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows Photo Viewer\ Viewer->MainWndPos:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:992) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:992) 未采取操作
(执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:992) 未采取操作
事件: PE 文件创建: c:\programdata\ hjgfsdegf.tmp (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:992) 未采取操作
事件: 进程启动: c:\programdata\microsoft dementias\ syntphelpersview.exe, PID:992 (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:992) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
事件: PE 文件创建: c:\programdata\microsoft dementias\ syntphelpersview.exe (执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
事件: 进程启动: c:\Windows\System32\ rundll32.exe, PID:5592 (执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
事件: PE 文件创建: c:\programdata\ Link.exe (执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
事件: 进程启动: c:\programdata\microsoft dementias\ syntphelpersview.exe, PID:992 (执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\ baidu.com, PID:5576 (执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
____________________________

可疑操作

(执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:992) 未采取操作
事件: 辅助功能 API 使用情况 (执行者 f:\norton样本\sonar漏检\临时收集\信誉交易图\信誉交易图\dat\baidu.com, PID:5576) 未采取操作
____________________________


文件指纹 - SHA:
ecf8a5ebf7ccc012a6898022222c1ce78d841a18754a4ef549f5e08d27ddf302
文件指纹 - MD5:
不可用

杀软神马

猪头无双

WD全部扫描无视

tgzw1680

只能说卡巴真流氓。。。。居然有这种报法

a445441

微点拦截