SageCrypt（17.8.30）

petr0vic

http://82.211.30.108/css/corn.exe

infected

和泉纱雾

桑德尔

红伞

温馨小屋

BD miss，没发现加密动作

XZ8SM7Sx0bVkoUV

火绒

心醉咖啡

管家扫描miss

Jerry.Lin

TPCMgr miss

实机沙盒双击！miss！

zst470396853

360

左手

[mw_shl_code=css,true]2017-8-30 20:28:14    创建文件夹 危险等级:低    允许
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: C:\Documents and Settings\All Users\Application Data\img
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-8-30 20:28:17    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-8-30 20:28:17    创建文件夹 危险等级:低    允许
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: C:\Documents and Settings\Administrator\Application Data\Maypumrei
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件]?:\documents and settings\*\application data\*

2017-8-30 20:28:31    创建文件 危险等级:低    允许
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: C:\Documents and Settings\Administrator\Application Data\Maypumrei\piuxibaxesw.exe
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-8-30 20:28:31    创建文件夹 危险等级:低    允许
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: C:\Documents and Settings\Administrator\Application Data\Xukabiadyxo
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件]?:\documents and settings\*\application data\*

2017-8-30 20:28:40    创建文件 危险等级:低    允许
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: C:\Documents and Settings\Administrator\Application Data\Xukabiadyxo\otgepixe.byo
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-8-30 20:28:40    创建文件夹 危险等级:低    允许
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: C:\Documents and Settings\Administrator\Application Data\Iwdyzeucager
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件]?:\documents and settings\*\application data\*

2017-8-30 20:28:44    创建文件 危险等级:低    允许
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: C:\Documents and Settings\Administrator\Application Data\Iwdyzeucager\eggiwekux.ugu
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-8-30 20:28:51    创建注册表项 危险等级:未知    阻止
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Ozompo
规则: [注册表组]r111_低优先询问 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft

2017-8-30 20:28:51    创建注册表项 危险等级:未知    阻止
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Ozompo
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\documents and settings\administrator\桌面\corn.exe -> [注册表]HKEY_CURRENT_USER\Software\Microsoft; Ozompo

2017-8-30 20:28:53    创建注册表项 危险等级:未知    阻止
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Qohio
规则: [注册表组]r111_低优先询问 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft

2017-8-30 20:28:53    创建注册表项 危险等级:未知    阻止
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Qohio
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\documents and settings\administrator\桌面\corn.exe -> [注册表]HKEY_CURRENT_USER\Software\Microsoft; Qohio

2017-8-30 20:28:55    创建注册表项 危险等级:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\corn.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Muykze
规则: [注册表组]r111_低优先询问 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft
[/mw_shl_code]

819340

管家miss，双击后文件消失了