【掛馬樣本】www.bat VT(9/57)

Agu

掛馬網址：52.11.8.202/www.bat

VT(9/57)：https://www.virustotal.com/en/fi ... 591ad7b73/analysis/

Payload行為分析：
https://www.hybrid-analysis.com/ ... 3?environmentId=100

樣本載點(SHA256前六碼3EE62B，密碼infected)：


測試：
AhnLab - Miss

猥琐大叔

pal家族

01.03.2017 19.44.48;Detected object (file) deleted;D:\360安全浏览器下载\Malware@3EE62B\www.bat;WinRAR 压缩文件管理器;D:\360安全浏览器下载\Malware@3EE62B\www.bat;03/01/2017 19:44:48;UDS:DangerousObject.Multi.Generic

ericdj

检测到的安全风险: Heur.AdvML.B
文件: \www.bat

心醉咖啡

毒霸

[mw_shl_code=css,true]扫描时间：[2017-03-01 19:50:50]
扫描用时：[00:00:03]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2017-03-01 19:51:10]
威胁：f:\浏览器下载\malware@3ee62b\www.bat
类型：win32.heur.kvmh004.a
处理方式：删除
[/mw_shl_code]

Eset小粉絲

[mw_shl_code=css,true]
Type:        File
Source:        C:\Users\Ivan\Downloads\www.bat
Status:        Infected
Detection:        TR/Crypt.XPACK.Gen (Cloud)
Date/Time:        1/3/2017, 20:10[/mw_shl_code]

见朕骑妓的时刻

猥琐大叔 发表于 2017-3-1 19:43

你这是WIN7系统？

Monismith

GD主防拦截

*** 进程 ***

进程: 3064
文件名: www.bat
路径: c:\users\administrator\desktop\www.bat

发行商：: 未知发行商

启动进程：: Explorer.EXE
发行商：: 未知发行商


*** 操作 ***

已加壳的程序文件，可能隐藏有恶意代码。
一个未知进程访问了。
程序已从自身的程序文件读取数据。
程序已通过启动其它程序以删除自身文件。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\Administrator\Desktop\www.bat

下列注册表项被删除：


YGLhvrIGLicnJycmBqdCJyx0wmJicCsnLCcsJgbHcsJywmJikCsW7iunkC4nKCYmJwjKcoJiYnKCwConJyYmJweNcoJiYnKC8CgnKScpJgafcnJycmJicPdycnJyYmJwaXJycnJiYnB5cnJiYnJycIlycnJyYmJwunJxWGO2cnJxWGO2cmJicNpygmJicoJwe3JycnJiYnD7cnJiYnJycPxygmJicoJwjnKicN5ygmJicoKAlnKCgPtycnJyYmKArnKCgL5ygmJicoIAAA
规则版本： 5.0.139
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 32bit OS
DLL版本： 65948

Virus4

ESET云拉黑

猥琐大叔

见朕骑妓的时刻 发表于 2017-3-1 20:45
你这是WIN7系统？

64  win7