850游戏远控木马

vm001

钓鱼网址
http://www.850sss.com/

下载链接
http://www.850sss.com/download/850lobby.exe

样本


360



火绒

心醉咖啡

毒霸扫描miss

轩夏

卡巴 miss

wjy19800315

不敢双击

dsb2466

心醉咖啡 发表于 2016-12-1 10:41
毒霸扫描miss

ghost

Dolby123

VT

[mw_shl_code=css,true]Microsoft         Backdoor:Win32/Zegost.BW         20161201
Tencent         Win32.Backdoor.Gh0st.Mjue         20161201 [/mw_shl_code]

HQ 回复报告
Kaspersky ----》  850lobby.exe - Trojan.Win32.Agent.neydls

猪头无双

欧阳宣

cylance杀850那个

胖福

文件名: 850lobby.exe
威胁名称: SONAR.AM.C!g7完整路径: 不可用

____________________________

____________________________


在电脑上 
2016-12-1 ( 12:46:16 )

上次使用时间 
2016-12-1 ( 12:46:16 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


850lobby.exe 威胁名称: SONAR.AM.C!g7
定位


极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
explorer.exe

创建的文件:
850lobby.exe

____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ 850lobby.exe 威胁已删除
事件: 正在运行进程: f:\norton样本\sonar漏检\临时收集\ 850lobby.exe 已终止
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 6666 mid 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 850lobby_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 850lobby_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 850lobby_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ 6666 mid 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\ 6666 mid->MarkTime 不需要操作
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\sonar漏检\临时收集\850lobby.exe, PID:2832) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\850lobby.exe, PID:2832) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\850lobby.exe, PID:2832) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\microsoft\windows\start menu\programs\startup\ 5c870673f62130316f3f6a11c214f36b.exe (执行者 f:\norton样本\sonar漏检\临时收集\850lobby.exe, PID:2832) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ 850lobby.exe, PID:2832 (执行者 f:\norton样本\sonar漏检\临时收集\850lobby.exe, PID:2832) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\sonar漏检\临时收集\850lobby.exe, PID:2832) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

dongwenqi

轩夏 发表于 2016-12-1 10:57
卡巴 miss

Trojan.Win32.Agent.neydls