来自管家论坛的白+黑远控

wjy19800315

尘梦幽然 发表于 2016-11-27 21:10

问一下，奇怪了我的为什么没有报？

尘梦幽然

wjy19800315 发表于 2016-11-27 21:28
问一下，奇怪了我的为什么没有报？

可能你的浏览器问题，也可能你的压缩软件的问题，也有可能是你网络的问题

sunnyjianna

WD miss

linzh

wjy19800315 发表于 2016-11-27 21:28
问一下，奇怪了我的为什么没有报？

那是诺顿的信誉万物杀，首先检查一下你的诺顿有没有开启智能下载防护，然后右键智能文件分析看看能不能连的上诺顿的信誉网

linzh

诺顿没开万物杀模式仍然miss

胖福

文件名: syntphelpersview.exe
威胁名称: SONAR.Heuristic.154完整路径: 不可用

____________________________

____________________________


在电脑上 
2016-11-28 ( 07:43:09 )

上次使用时间 
2016-11-28 ( 07:43:09 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


syntphelpersview.exe 威胁名称: SONAR.Heuristic.154
定位


极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
hjgfsdegf.tmp

____________________________

文件操作

文件: c:\programdata\microsoft dementias\ syntphelpersview.exe 威胁已删除
文件: f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\ baidu.com 威胁已删除
文件: c:\programdata\ qdeskpath.ini 威胁已删除
文件: c:\users\administrator\appdata\roaming\microsoft\windows\cookies\ 0i393lax.txt 威胁已删除
文件: c:\programdata\ config.dat 威胁已删除
文件: c:\users\administrator\appdata\roaming\ qq截圖20161127e61da404e6d.jpg 威胁已删除
受感染文件: c:\programdata\ hjgfsdegf.tmp 已删除
目录: c:\programdata\ microsoft dementias 威胁已删除
目录: c:\programdata\ QQGame 删除失败
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ SynTPHelpersView_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ SynTPHelpersView_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ SynTPHelpersView_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\EapHost\ Parameters->AuthenticatorInstalled 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\ EapHost->DelayedAutostart 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Direct3D\ MostRecentApplication->Name:XSkyWalker.exe 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveTime:1480290202 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveSkin:... 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows Photo Viewer\ Viewer->MainWndPos:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:1088) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:1088) 未采取操作
(执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:1088) 未采取操作
事件: PE 文件创建: c:\programdata\ hjgfsdegf.tmp (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:1088) 未采取操作
事件: 进程启动: c:\programdata\microsoft dementias\ syntphelpersview.exe, PID:1088 (执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:1088) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
事件: PE 文件创建: c:\programdata\microsoft dementias\ syntphelpersview.exe (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
事件: 进程启动: c:\Windows\System32\ rundll32.exe, PID:196 (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
事件: PE 文件创建: c:\programdata\ Link.exe (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
事件: PE 文件创建: c:\programdata\QQGame\ QQGame.exe (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
事件: 进程启动: c:\programdata\QQGame\ QQGame.exe, PID:2812 (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
事件: 进程启动: c:\programdata\microsoft dementias\ syntphelpersview.exe, PID:1088 (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\ baidu.com, PID:3060 (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
____________________________

可疑操作

(执行者 c:\programdata\microsoft dementias\syntphelpersview.exe, PID:1088) 未采取操作
事件: 辅助功能 API 使用情况 (执行者 f:\norton样本\sonar漏检\临时收集\信誉货价表\dat\baidu.com, PID:3060) 未采取操作
____________________________


文件指纹 - SHA:
ecf8a5ebf7ccc012a6898022222c1ce78d841a18754a4ef549f5e08d27ddf302
文件指纹 - MD5:
不可用

轩夏

卡巴

ppbm.bat
Trojan.Win32.DLLhijack.fx

vm001

linzh 发表于 2016-11-28 01:07
那是诺顿的信誉万物杀，首先检查一下你的诺顿有没有开启智能下载防护，然后右键智能文件分析看看能 ...

这种样本在实际传输过程中，诺顿的万物杀没什么作用。。不存在传输压缩包这个问题，都是直接传文件夹。。

dongwenqi

wuwu123400 发表于 2016-11-27 19:39
卡巴报第一个压缩包  对象名称: Trojan.Win32.DLLhijack.fx
bd第二个包右键miss，虚拟机中双击，atc杀！
...

感谢您的帮助，在您提交的附件中已经发现新的恶意软件，请稍后更新最新数据库试一下
SynTPHelpersView.exe_ - Trojan.Win32.Agentb.btmc
baidu.com_ - Trojan.Win32.Agentb.btmb
Others are clean.

wuwu123400

dongwenqi 发表于 2016-11-28 19:09
感谢您的帮助，在您提交的附件中已经发现新的恶意软件，请稍后更新最新数据库试一下
SynTPHelpersView.e ...

谢谢啦，压缩包右键miss，不过解压卡巴报了“对象名称: UDS:DangerousObject.Multi.Generic”。