SAGE 2.0 Ransomware

显示全部楼层 · 发表于 2017-2-12 02:07:26

本帖最后由 Dolby123 于 2017-2-12 02:14 编辑

挂马网址： hxxp://meyaau.com/doc_1928419212.exe

avast

显示全部楼层 · 发表于 2017-2-12 02:27:34

本帖最后由 Monismith 于 2017-2-12 14:17 编辑

GD行为监控block
12小时后， AB引擎均入库：Trojan.GenericKD.4363665 (引擎A) Win32.Trojan-Ransom.Sage.QCE0TV (引擎B)

[mw_shl_code=css,true]AVA 25.10611
GD 25.7015

*** 进程 ***

进程: 468
文件名: Dartmouth Hence.exe
路径: c:\users\admin\desktop\dartmouth hence.exe

发行商：: 未知发行商
创建日期: 02/11/17 18:24:42
修改日期: 02/11/17 18:00:33

启动进程：: Explorer.EXE
发行商：: Microsoft Windows

*** 操作 ***

一个未知进程访问了。
程序已创建或已操作可执行文件。
程序已从自身的程序文件读取数据。
程序进行了自我复制。
可执行文件被保存在一个可疑位置。

*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\admin\AppData\Roaming\1c8mR145.exe
C:\Users\admin\AppData\Roaming\Mb7vdLC2.tmp
C:\Users\admin\AppData\Roaming\Microsoft\Network\Connections\Pbk\rasphone.pbk
C:\Users\admin\Desktop\Dartmouth Hence.exe[/mw_shl_code]

显示全部楼层 · 发表于 2017-2-12 02:33:41

[mw_shl_code=css,true]
Type: File
Source: C:\Users\Ivan\Downloads\Dartmouth Hence.exe
Status: Infected
Quarantine object: 76c1f0e2.qua
Restored: NO
Uploaded to Avira: NO
Operating system: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.03.42.172
Virus definition file: 8.12.153.184
Detection: TR/AD.Cerber.Y (Cloud)
Date/Time: 12/2/2017, 2:33[/mw_shl_code]

显示全部楼层 · 发表于 2017-2-12 05:01:26

ESET云拉黑

显示全部楼层 · 发表于 2017-2-12 08:15:10

卡巴云拉黑

显示全部楼层 · 发表于 2017-2-12 08:16:43

文件名: doc_1928419212[1].exe
威胁名称: Ransom.Cry完整路径: c:\users\72428\appdata\local\packages\windows_ie_ac_001\ac\inetcache\0t1mk36e\doc_1928419212[1].exe

____________________________

____________________________

在电脑上
2017/2/12 ( 8:14:18 )

上次使用时间
2017/2/12 ( 8:16:18 )

启动项
否

已启动
否

威胁类型: 病毒。将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________

doc_1928419212[1].exe 威胁名称: Ransom.Cry
定位

极少用户信任的文件
Norton 社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

____________________________

http://meyaau.com/doc_1928419212.exe
已下载文件从 meyaau.com
来源: 外部介质

doc_1928419212[1].exe

____________________________

文件操作

文件: c:\users\72428\appdata\local\packages\windows_ie_ac_001\ac\inetcache\0t1mk36e\ doc_1928419212[1].exe 已删除
____________________________

文件指纹 - SHA:
5b07c04de17a4d91c0037f551bbb760f25f409dfdcc037446de880c5a5ce8cb8
文件指纹 - MD5:
d6a6aeca00c684fcdd7b292aa39f5339

显示全部楼层 · 发表于 2017-2-12 08:59:27

火绒扫描miss

显示全部楼层 · 发表于 2017-2-12 09:32:18

fsp miss

显示全部楼层 · 发表于 2017-2-12 13:10:51

fscs解压秒

显示全部楼层 · 发表于 2017-2-12 13:18:02

BDF ATC kill

[病毒样本] SAGE 2.0 Ransomware

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块