高级远控

胖福

文件名: 2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe
威胁名称: SONAR.SelfHijack!gen1完整路径: 不可用

____________________________

____________________________


在电脑上 
不可用

上次使用时间 
(  )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe 威胁名称: SONAR.SelfHijack!gen1
定位


未知
Norton 社区中使用了此文件的用户数 未知。

未知
此文件版本当前 未知。

高
此文件具有高风险。


____________________________


来源: 外部介质


____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ 2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe 不需要操作
文件: c:\users\administrator\appdata\local\temp\ button.htm 不需要操作
文件: c:\users\administrator\appdata\local\temp\ restaurateur.hpfs 不需要操作
目录: c:\Users\administrator\AppData\Local\Temp\ nsw88F3.tmp 删除失败
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:2444) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\temp\ raincoat.dll (执行者 f:\norton样本\sonar漏检\临时收集\2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:2444) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Local\Temp\nsw88F3.tmp\ System.dll (执行者 f:\norton样本\sonar漏检\临时收集\2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:2444) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ 2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:5416 (执行者 f:\norton样本\sonar漏检\临时收集\2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:2444) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:5416) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ 2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:5416 (执行者 f:\norton样本\sonar漏检\临时收集\2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:5416) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ 2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:2444 (执行者 f:\norton样本\sonar漏检\临时收集\2016-12-19-eitest-rig-e-payload-zeprox.b-rad57c53.tmp.exe, PID:2444) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

心醉咖啡

管家扫描miss

黑色博客

解压密码？

windows7爱好者

250662772 发表于 2016-12-20 14:22
随机把自己复制到AppData\Roaming并重命名成电脑上程序名称？

不不不，你只说对了后半部分
此样本在Roaming并无文件

windows7爱好者

黑色博客 发表于 2016-12-20 16:07
解压密码？

infected

windows7爱好者

vm001 发表于 2016-12-20 14:56
一条自定义规则干掉他

它加的启动项名字很有趣
而且这个样本会多次注入，简直做大死

Johnkay.Young

McAfee:

1x   HTML/Darkleech.g

ELOHIM

上次忘记谁跟我说没有 TXT病毒了。
今天这个MSE报2016-12-19-EITest-Rig-E-artifacts-OTTYUADAF.txt > Exploit:JS/NeutrinoEK
另外一个 swf
一个 exe

windows7爱好者

ELOHIM 发表于 2016-12-20 18:06
上次忘记谁跟我说没有 TXT病毒了。
今天这个MSE报2016-12-19-EITest-Rig-E-artifacts-OTTYUADAF.txt > Exp ...

这个TXT包含有攻击成分的脚本代码
并不是真的TXT有毒

ELOHIM

windows7爱好者 发表于 2016-12-20 19:38
这个TXT包含有攻击成分的脚本代码
并不是真的TXT有毒

  谢谢。。