疑似远控程序（上次国产勒索的后续进展），欢迎围观……

显示全部楼层 · 发表于 2017-2-6 21:24:53

本帖最后由 zhou0197 于 2017-2-6 21:52 编辑

上次的链接，疑似勒索：http://bbs.kafan.cn/thread-2075824-1-1.html

这次可能的源头（软件下载地址）：http://www.uzzf.com/soft/29367.html

一个OCR软件的破解版？

行为：

部分可疑文件：

勒索行为疑似受到此远控的控制？？

欢迎分析！

显示全部楼层 · 发表于 2017-2-6 21:51:40

火绒扫描miss

显示全部楼层 · 发表于 2017-2-6 22:01:18

本帖最后由 BillYuytz991124 于 2017-2-6 22:04 编辑

KIS 2017
TryOCR.rar
检测到的对象 ( 文件 ) ;
https://att.kafan.cn/forum.php?mo ... g%3D%3D//jmail.dll;
not-a-virus:Client-SMTP.Win32.JMail.43

显示全部楼层 · 发表于 2017-2-6 22:53:24

http://weibo.com/1773148625/Eujm ... t#_rnd1486392404633

显示全部楼层 · 发表于 2017-2-6 23:04:17

vm001 发表于 2017-2-6 22:53
http://weibo.com/1773148625/EujmnecOx?type=repost#_rnd1486392404633

就是这个……

显示全部楼层 · 发表于 2017-2-6 23:10:15

zhou0197 发表于 2017-2-6 23:04
就是这个……

你提供的另一个dll也有问题，好像会下载其他文件

显示全部楼层 · 发表于 2017-2-6 23:17:20

vm001 发表于 2017-2-6 23:10
你提供的另一个dll也有问题，好像会下载其他文件

jmail？？这个已经有杀毒软件报毒的呢，似乎是个邮件客户端。

显示全部楼层 · 发表于 2017-2-7 03:58:21

本帖最后由 linzh 于 2017-2-7 04:13 编辑

不像吧。。是我的话我马上就卸载了...

，特么的使用还要分享。。。

update似乎只有启动的时候会连接一下检测更新，然后就断开了
ip： 112.10.115.125 中国浙江杭州移动中国浙江杭州下城区

不过似乎：

文件对比：

update连接的IP：115.129.211.92 澳大利亚
替换dll后效果一样。。。

显示全部楼层 · 发表于 2017-2-7 08:08:59

双击SONAR过，自动防护拦截其中一个dll：

文件名: jmail.dll
威胁名称: Trojan.Gen.8完整路径: c:\users\administrator\desktop\tryocr\jmail.dll
____________________________
____________________________

在电脑上
2017-2-7 ( 08:05:25 )

上次使用时间
2017-2-7 ( 08:05:25 )

启动项
否

已启动
否

威胁类型: 启发式病毒。根据恶意软件启发式技术检测威胁。
____________________________

jmail.dll 威胁名称: Trojan.Gen.8
定位

多数用户信任的文件
Norton 社区中有数万名用户使用了此文件。

发布已久的文件
该文件已在 7 年 4 个月前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质
____________________________

文件操作

文件: c:\users\administrator\desktop\tryocr\ jmail.dll 已阻止
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2017-2-7 11:12:19

貌似内嵌CVE-2015-2419漏洞

[可疑文件] 疑似远控程序（上次国产勒索的后续进展），欢迎围观……

本帖子中包含更多资源

本帖子中包含更多资源