【掛馬樣本】svchost32.exe VT(6/56) #Ransomware

Agu

掛馬網址：efi66ap2ffu2ossu.onion.to/svchost32.exe

VT(6/56)：https://www.virustotal.com/en/fi ... nalysis/1480612858/

Payload行為分析：
https://www.hybrid-analysis.com/ ... f?environmentId=100

樣本載點(SHA256前六碼DDAEF4，密碼infected)：


測試：
Zemana - Miss
Sophos - 攔截網址/掃描Miss

欧阳宣

cylance kill

Agu

欧阳宣 发表于 2016-12-2 01:40
cylance kill

請問Cylance有x86的版本可以提供下載嗎？Key是用之前版上提供的？

petr0vic

Avast -kill

欧阳宣

Agu 发表于 2016-12-2 01:58
請問Cylance有x86的版本可以提供下載嗎？Key是用之前版上提供的？

安装包我记得是32 64二合一的

key不是用的论坛的

linzh

卡巴云拉黑

断网双击，KIS2017主防杀

并回滚

附日志：
[mw_shl_code=xml,true]01.12.2016 16.15.35        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:15
01.12.2016 16.15.35        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:15
01.12.2016 16.15.35        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\rollover.js        对象: c:\users\linzh\appdata\local\temp\rollover.js        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:15
01.12.2016 16.15.35        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\rollover.js        对象: c:\users\linzh\appdata\local\temp\rollover.js        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:15
01.12.2016 16.15.35        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\nsnff36.tmp\system.dll        对象: c:\users\linzh\appdata\local\temp\nsnff36.tmp\system.dll        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:15
01.12.2016 16.15.04        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:15
01.12.2016 16.15.04        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:15
01.12.2016 16.14.51        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        时间: 2016/12/1 16:14
01.12.2016 16.14.51        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        时间: 2016/12/1 16:14
01.12.2016 16.14.51        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:14
01.12.2016 16.14.51        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序路径: c:\users\linzh\desktop\malware@ddaef4\svchost32.exe        时间: 2016/12/1 16:14
01.12.2016 16.14.28        应用程序已添加至组低限制组        C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        应用程序: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        原因: 根据计算评级        应用程序路径: C:\Users\linzh\Desktop\Malware@DDAEF4\svchost32.exe        时间: 2016/12/1 16:14[/mw_shl_code]

---

卡巴斯基free2016，断网双击，被过




所以大家要防勒索还是最好别装卡巴斯基free ，虽然这个结果在情理之中

Eset小粉絲

Avira
The pattern of 'TR/Crypt.Xpack.zukgc [trojan]'

心醉咖啡

扫描时间：[2016-12-02 09:14:38]
扫描用时：[00:00:04]
扫描类型：自定义查杀
扫描文件总数：12
扫描速度：2文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2016-12-02 09:14:51]
威胁：f:\浏览器下载\malware@ddaef4\svchost32.exe
类型：win32.heur.kvmh017.a
处理方式：删除

轩夏

卡巴
svchost32.exe
UDS:DangerousObject.Multi.Generic

追影子的十三

linzh 发表于 2016-12-2 05:02
卡巴云拉黑

断网双击，KIS2017主防杀

免费版没有主防，被加密正常。

不过，可以搭配个数字卫士