File name: Roaming.exe Detection ratio: 7 / 56

墨家小子

https://www.virustotal.com/en/fi ... nalysis/1479434338/

o0net315

KIS2017 KILL

fireherman

ESET miss

不方便开虚拟机，不（敢）实体机双击；

Live Grid:

墨家小子

fireherman 发表于 2016-11-18 10:06
ESET miss

不方便开虚拟机，不（敢）实体机双击；

来样本区不双击，你这就是七宗罪之一啊
好歹你也说句话吧，比如：
秒杀
云杀
A杀
B杀
C杀
……

胖福

文件名: roaming.exe
威胁名称: SONAR.Heuristic.154完整路径: 不可用

____________________________

____________________________


在电脑上 
2016-11-18 ( 10:08:34 )

上次使用时间 
2016-11-18 ( 10:08:34 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


roaming.exe 威胁名称: SONAR.Heuristic.154
定位


极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
roaming.exe

____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ roaming.exe 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ why-efs.png 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ club889436212.css 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ tooltip.default.css 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ -1761669720.html 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ custom.css 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ js_lgaaolpleun7p_8pb-8dm079wtvnfwlz0hak0mh7dto.js 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ pgxxytqkaxskvavvrgnjx.eluqgu 威胁已删除
目录: c:\Users\administrator\AppData\Local\Temp\ nsq8891.tmp 删除失败
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ Roaming_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ Roaming_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5188) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5144) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Local\Temp\nsq8891.tmp\ System.dll (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5144) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ roaming.exe, PID:5188 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5144) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5188) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ roaming.exe, PID:5144 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5144) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5188) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ roaming.exe, PID:5188 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5188) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

fireherman

墨家小子 发表于 2016-11-18 10:09
来样本区不双击，你这就是七宗罪之一啊
好歹你也说句话吧，比如：
秒杀

双击的话，ESET虽然很大几率通过AMS杀掉。

但做人要诚实，没双击靠猜想不靠谱，所以……这应该得到褒奖。

不过……如果AMS不杀被miss掉，就回来回复一句：自杀

墨家小子

胖福 发表于 2016-11-18 10:10
文件名: roaming.exe
威胁名称: SONAR.Heuristic.154完整路径: 不可用

发现声纳对付勒索还是有一套的

欧阳宣

webroot miss

估计几分钟后入库

原来不是miss，是防住了，在没有通知的情况下回滚隔离了一些tmp和css

fireherman

双击后……毫无反应……

linzh

卡巴拉黑。。继续来晚