文件名: roaming.exe
威胁名称: SONAR.MalTraffic!gen2完整路径: 不可用
____________________________
____________________________
在电脑上
2016-11-30 ( 13:59:35 )
上次使用时间
2016-11-30 ( 13:59:35 )
启动项
否
已启动
是
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________
roaming.exe 威胁名称: SONAR.MalTraffic!gen2
定位
极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。
极新的文件
该文件已在 不到 1 周 前发行。
高
此文件具有高风险。
____________________________
来源: 外部介质
源文件:
roaming.exe
____________________________
文件操作
文件: f:\norton样本\sonar漏检\临时收集\ roaming.exe 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ 16956ea8a02fbfd4256a3afa4d25efc7 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ flashplugin.js 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ bergmeister 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ js_7h324ifcllgyfxfoatq4-wnm2it7bpch8oukrlw-nky.js 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ donaldtrump_barrontrump_rnc_clevelandoh_shock_072116_marquee_100.jpg 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ imagesloaded.pkgd.min.js 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ mdxeronjp.ms 威胁已删除
目录: c:\Users\administrator\AppData\Local\Temp\ nsr64BD.tmp 删除失败
____________________________
注册表操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ Roaming_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ Roaming_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ Roaming_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________
网络操作
事件: 网络活动 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5724) 未采取操作
事件: 网络通信上检测到 Symantec IDS 特征 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5724) 未采取操作
____________________________
系统设置操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:668) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Local\Temp\nsr64BD.tmp\ System.dll (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:668) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ roaming.exe, PID:5724 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:668) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5724) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ roaming.exe, PID:668 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:668) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5724) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ roaming.exe, PID:5724 (执行者 f:\norton样本\sonar漏检\临时收集\roaming.exe, PID:5724) 未采取操作
____________________________
文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
|
发表于 2016-11-30 12:58:09
楼主
EAM和HMPA先后拦截了加密勒索，我都分别截图了……截图了……截图了
