File name: gwqsd7ska.exe Detection ratio: 3 / 56 目测加密勒索

胖福

文件名: gwqsd7ska.exe
威胁名称: SONAR.SelfHijack!gen1完整路径: 不可用

____________________________

____________________________


在电脑上 
2016-11-22 ( 08:17:38 )

上次使用时间 
2016-11-22 ( 08:17:38 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


gwqsd7ska.exe 威胁名称: SONAR.SelfHijack!gen1
定位


极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
explorer.exe

创建的文件:
gwqsd7ska.exe

____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ gwqsd7ska.exe 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ new_kodak_small.gif 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ ctf-font-color2.png 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ reins 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ subscriber_custom.css 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ logo.gif 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ qiqsk23xioyppvipv2vz8kqq.2k 威胁已删除
事件: 正在运行进程: f:\norton样本\sonar漏检\临时收集\ gwqsd7ska.exe 已终止
目录: c:\Users\administrator\AppData\Local\Temp\ nsr950F.tmp 删除失败
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\gwqsd7ska.exe, PID:1652) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Local\Temp\nsr950F.tmp\ System.dll (执行者 f:\norton样本\sonar漏检\临时收集\gwqsd7ska.exe, PID:1652) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ gwqsd7ska.exe, PID:1404 (执行者 f:\norton样本\sonar漏检\临时收集\gwqsd7ska.exe, PID:1652) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ gwqsd7ska.exe, PID:1652 (执行者 f:\norton样本\sonar漏检\临时收集\gwqsd7ska.exe, PID:1652) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

轩夏

卡巴

gwqsd7ska.exe
Trojan-Ransom.Win32.Zerber.agpr

liulangzhecgr

2016/11/22 08:42:19    创建文件    允许
进程: c:\program files\virustest\gwqsd7ska\gwqsd7ska.exe
目标: C:\Users\yiqing\AppData\Local\Temp\nsv2D87.tmp\System.dll
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.dll

2016/11/22 08:42:25    加载动态链接库 (5)    允许
进程: c:\program files\virustest\gwqsd7ska\gwqsd7ska.exe
目标: c:\users\yiqing\appdata\local\temp\nsv2d87.tmp\system.dll
规则: [应用程序组]病毒测试 -> [动态链接库]*

2016/11/22 08:42:53    删除文件    允许
进程: c:\program files\virustest\gwqsd7ska\gwqsd7ska.exe
目标: C:\Users\yiqing\AppData\Local\Temp\nsv2D87.tmp\System.dll
规则: [应用程序组]病毒测试 -> [文件组]所有执行文件 -> [文件]*; *.dll

2016/11/22 08:42:58    删除文件夹    允许
进程: c:\program files\virustest\gwqsd7ska\gwqsd7ska.exe
目标: C:\Users\yiqing\AppData\Local\Temp\nsv2D87.tmp
规则: [应用程序组]病毒测试 -> [文件]*

驭龙

Virus4 发表于 2016-11-21 17:45
WD扫描miss

双击无反应。

行为监控杀了@ELOHIM   你们的行为监控怎么了？
双击完美拦截，没有被加密文件

Virus4

驭龙 发表于 2016-11-22 13:47
行为监控杀了@ELOHIM   你们的行为监控怎么了？
双击完美拦截，没有被加密文件

感觉WD在我手里不太正常。。。我再去试试。

驭龙

Virus4 发表于 2016-11-22 13:54
感觉WD在我手里不太正常。。。我再去试试。

我这里是实机的NS IPS疯狂拦截勒索通讯，关闭IPS以后，虚拟机才开始有反应，但直接被SCEP拦截了


你那里是不是网络问题？

Virus4

驭龙 发表于 2016-11-22 13:59
我这里是实机的NS IPS疯狂拦截勒索通讯，关闭IPS以后，虚拟机才开始有反应，但直接被SCEP拦截了

奇了怪了。

win7  SCEP32一点反应没有。。。（操作失误）
win10 64WD也是。。。（操作失误）
网络通信应该是正常的。我为了再测一遍刚刚更新的定义。

正常了正常了。加了些文件必须有加密行为才能Behavior杀。

Virus4

驭龙 发表于 2016-11-22 13:59
我这里是实机的NS IPS疯狂拦截勒索通讯，关闭IPS以后，虚拟机才开始有反应，但直接被SCEP拦截了

好了，正常了。我知道了。。

因为新虚拟机里面没有文件。。没有加密行为。。

给加了几个文件就Behavior了。。

我的锅，不好意思

原回复贴已改。

ELOHIM

驭龙 发表于 2016-11-22 13:47
行为监控杀了@ELOHIM   你们的行为监控怎么了？
双击完美拦截，没有被加密文件

此一时彼一时。
我吃完螃蟹了。
貌似 Windows 7 SCEP难以跟 Windows 10 WD抗衡。

驭龙

ELOHIM 发表于 2016-11-22 14:46
此一时彼一时。
我吃完螃蟹了。
貌似 Windows 7 SCEP难以跟 Windows 10 WD抗衡。

不会，只要是SCEP 4.10＋13303引擎，就可以拦截啊。