Malware_1793d2 (NS: Heur.AdvML.A)

saleniy35

Malware_Sample: https://sendit.cloud/64f4tmj4xal4

VT: 9/60
https://virustotalcloud.appspot. ... c57edea6c/detection

Payload: https://www.hybrid-analysis.com/ ... c?environmentId=100

桑德尔

卡巴杀

心醉咖啡

毒霸扫描miss

Dolby123

云端信誉:危险

schumi小粉

Dolby123 发表于 2017-6-27 10:35
云端信誉:危险

你测了emsi，我就不测了。双击后，蓝色猫头鹰木有反应，卡巴拦截恶意流量请求

狐狸糊涂

卡巴双击

胖福

文件名: 1793d2a0233158.exe
威胁名称: SONAR.AM.C!g11完整路径: 不可用

____________________________

____________________________


在电脑上 
2017-6-27 ( 10:53:14 )

上次使用时间 
2017-6-27 ( 10:53:14 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


1793d2a0233158.exe 威胁名称: SONAR.AM.C!g11
定位


极少用户信任的文件
Norton 社区中有不到 5 名用户 使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
1793d2a0233158.exe

____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ 1793d2a0233158.exe 威胁已删除
文件: c:\users\administrator\appdata\local\mrkwfu\ svchostt-t.exe 威胁已删除
文件: c:\users\administrator\appdata\local\mrkwfu\ svchostt.exe 威胁已删除
文件: c:\users\administrator\appdata\local\mrkwfu\ mcconfig.dll 威胁已删除
文件: c:\users\administrator\appdata\local\mrkwfu\ windowscodecsraw.txt 威胁已删除
文件: c:\users\administrator\appdata\local\mrkwfu\ xml.txt 威胁已删除
文件: c:\users\administrator\appdata\local\mrkwfu\ x 威胁已删除
目录: c:\users\administrator\appdata\local\ mrkwfu 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\1793d2a0233158.exe, PID:4780) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\mrkwfu\ svchost.text (执行者 f:\norton样本\sonar漏检\临时收集\1793d2a0233158.exe, PID:4780) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\mrkwfu\ svchostt-t.exe (执行者 f:\norton样本\sonar漏检\临时收集\1793d2a0233158.exe, PID:4780) 未采取操作
事件: 进程启动: c:\users\administrator\appdata\local\mrkwfu\ svchostt-t.exe, PID:4856 (执行者 f:\norton样本\sonar漏检\临时收集\1793d2a0233158.exe, PID:4780) 未采取操作
事件: 进程启动: c:\users\administrator\appdata\local\mrkwfu\ svchostt.exe, PID:4968 (执行者 f:\norton样本\sonar漏检\临时收集\1793d2a0233158.exe, PID:4780) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ 1793d2a0233158.exe, PID:4780 (执行者 f:\norton样本\sonar漏检\临时收集\1793d2a0233158.exe, PID:4780) 未采取操作
事件: 进程启动 (执行者 c:\users\administrator\appdata\local\mrkwfu\svchostt-t.exe, PID:4856) 未采取操作
(执行者 c:\users\administrator\appdata\local\mrkwfu\svchostt-t.exe, PID:4856) 未采取操作
事件: 进程启动: c:\Windows\System32\ schtasks.exe, PID:4916 (执行者 c:\users\administrator\appdata\local\mrkwfu\svchostt-t.exe, PID:4856) 未采取操作
事件: 进程启动: c:\users\administrator\appdata\local\mrkwfu\ svchostt-t.exe, PID:4856 (执行者 c:\users\administrator\appdata\local\mrkwfu\svchostt-t.exe, PID:4856) 未采取操作
事件: 进程启动 (执行者 c:\users\administrator\appdata\local\mrkwfu\svchostt.exe, PID:4968) 未采取操作
事件: 进程启动: c:\users\administrator\appdata\local\mrkwfu\ svchostt.exe, PID:4968 (执行者 c:\users\administrator\appdata\local\mrkwfu\svchostt.exe, PID:4968) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

Dolby123

schumi小粉 发表于 2017-6-27 10:38
你测了emsi，我就不测了。双击后，蓝色猫头鹰木有反应，卡巴拦截恶意流量请求

不是勒索，貌似spyware 行为多些
https://www.hybrid-analysis.com/ ... c?environmentId=100

schumi小粉

Dolby123 发表于 2017-6-27 11:16
不是勒索，貌似spyware 行为多些
https://www.hybrid-analysis.com/sample/1793d2a0233158442b838690372 ...

运行了一下，看上去的确不像勒索。。。。http://www.tcasoft.com/tcaCloudP ... fce3923b4dd&sk=

275751198

QVM41.1.Malware.Gen