3个，预祝新春快乐！

schumi小粉

好久不来了，先放3个出来，估计没啥新鲜感，借此祝各位新春快乐！

Jerry.Lin

1.                 瑞星反恶软引擎命令行扫描器（社区交流版）
   
2. 
   
3. 
   
4. 编译于：Sep 22 2017   15:07:50
   
5. 
   
6. 提示：
   
7.   - 本工具供社区交流使用，请勿用于其他用途
   
8.   - 本工具没有恶意软件删除、清除、隔离功能
   
9.   - 本工具包含开发中的新特性，结果仅供参考
   
10. 
    
11. * 命令行中的选项开关：
    
12. * 获取恶软签名库最新版本 ...
    
13. * 下载恶软签名库配置文件 ...
    
14. * 创建恶软签名库升级组件 ...
    
15. * 计算并下载增量文件 ...
    
16. *  下载 3701-3700.rp ...  成功
    
17. *  下载 3702-3701.rp ...  成功
    
18. *  下载 3703-3702.rp ...  成功
    
19. *  下载 3704-3703.rp ...  成功
    
20. *  下载 3705-3704.rp ...  成功
    
21. * 升级恶软签名库 ...
    
22. *  处理 3701-3700.rp, 错误码 = 0
    
23. *  处理 3702-3701.rp, 错误码 = 0
    
24. *  处理 3703-3702.rp, 错误码 = 0
    
25. *  处理 3704-3703.rp, 错误码 = 0
    
26. *  处理 3705-3704.rp, 错误码 = 0
    
27. * 恶软签名库升级成功
    
28. * 扫描目标 : (1) C:\Users\USER\AppData\Local\Temp\Rar$VR14916.39847
    
29. 
    
30. * 加载恶软签名库： C:\Users\USER\Downloads\Compressed\RDM20171130x64/malware.rmd
    
31. * 恶软签名库加载成功，发布序号为 3705
    
32. * 读取恶软签名库配置 ...
    
33. * 云辅助扫描组件初始化失败.
    
34. * 初始化引擎环境 ...
    
35. * 初始化引擎环境 ...
    
36. * 初始化引擎环境 ...
    
37. * 初始化引擎环境 ...
    
38. * 初始化引擎环境 ...
    
39. * 初始化引擎环境 ...
    
40. * 初始化引擎环境 ...
    
41. * 初始化引擎环境 ...
    
42. 扫描开始: Wed Feb 14 11:09:03 2018
    
43. 
    
44. C:\Users\USER\AppData\Local\Temp\Rar$VR14916.39847\Rar$Scan11566.bat ...        ok
    
45. C:\Users\USER\AppData\Local\Temp\Rar$VR14916.39847\3X.7z\3X\Invoice_8788670.js ...      Trojan.JS/Nemucod!1.AF58 (C64:YzY0OiACas5Dyf9/)
    
46. C:\Users\USER\AppData\Local\Temp\Rar$VR14916.39847\3X.7z\3X\ATT00001.bin ...    ok
    
47. C:\Users\USER\AppData\Local\Temp\Rar$VR14916.39847\3X.7z\3X\Document_16110176.vbs ...   Trojan.Obufs/JS!1.A54E (CLOUD)
    
48. 
    
49. 扫描结束: Wed Feb 14 11:09:09 2018
    
50. 
    
51. 总扫描耗时: 0:5:496(m:s:ms)
    
52. 总扫描对象: 5
    
53. 总扫描文件: 4
    
54. 总恶意文件: 2
    
55. 有效检出率: 50.00%

复制代码

Heavev

浅暮、浅离

卡巴！！！

DF快递

小A全kill

Dolby123

WD

Invoice_8788670.js  -  TrojanDownloader:JS/Nemucod
Document_16110176.vbs  -  TrojanDownloader:VBS/Schopets.OC

心醉咖啡

管家扫描miss

ytysh

Webroot Miss all

毛可多来

文件检测评级：高度风险
基本信息

文件名称：	Invoice_8788670.js
MD5：	2a2d6d26e1df3b9cc720014b9fc93ca0
文件类型：	Windows Script
上传时间：	2018-02-19 15:54:57
出品公司：	N/A
版本：	N/A
壳或编译器信息：	N/A

关键行为

行为描述：	设置特殊文件夹属性
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 C:\Documents and Settings\Administrator\Local Settings\History C:\Documents and Settings\Administrator\Local Settings\History\History.IE5 C:\Documents and Settings\Administrator\Cookies

进程行为

行为描述：	创建进程
详情信息：	[0x00000a60]ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd.exe /c START "" C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp/HlyKqQflO2.exe
行为描述：	创建本地线程
详情信息：	TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2504, StartAddress = 01002FD4, Parameter = 008E4480 TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2516, StartAddress = 77DC845A, Parameter = 00000000 TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2536, StartAddress = 765E964D, Parameter = 001C4118 TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2552, StartAddress = 77E56C7D, Parameter = 001BE348 TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2556, StartAddress = 769AE43B, Parameter = 001A8490 TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2628, StartAddress = 7C947EBB, Parameter = 00000000 TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2632, StartAddress = 7C930230, Parameter = 00000000 TargetProcess: wscript.exe, InheritedFromPID = 2000, ProcessID = 2468, ThreadID = 2664, StartAddress = 5A225840, Parameter = 008EBD28
行为描述：	创建下载文件进程
详情信息：	[0x00000a74]ImagePath = C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\HlyKqQflO2.exe, CmdLine = C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp/HlyKqQflO2.exe

文件行为

行为描述：	创建文件
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C1OS62RY\IUYknej3[1] C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe
行为描述：	创建可执行文件
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe
行为描述：	查找文件
详情信息：	FileName = C:\Documents and Settings\Administrator\Local Settings\Temp FileName = C:\Documents and Settings\Administrator\Local Settings\%temp% FileName = C:\Documents and Settings\Administrator\Local Settings\%temp%\%temp%\****.js FileName = C:\Documents and Settings FileName = C:\Documents and Settings\Administrator FileName = C:\Documents and Settings\Administrator\Local Settings FileName = C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Connections\Pbk\*.pbk FileName = C:\WINDOWS\system32\Ras\*.pbk FileName = C:\Documents and Settings\Administrator\Application Data\Microsoft\Network\Connections\Pbk\*.pbk FileName = C:\Windows FileName = C:\Windows\System32 FileName = C:\Windows\System32\cmd.exe FileName = C:\WINDOWS FileName = C:\WINDOWS\system32 FileName = C:\WINDOWS\system32\cmd.exe
行为描述：	删除文件
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C1OS62RY\IUYknej3[1]
行为描述：	设置特殊文件夹属性
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 C:\Documents and Settings\Administrator\Local Settings\History C:\Documents and Settings\Administrator\Local Settings\History\History.IE5 C:\Documents and Settings\Administrator\Cookies
行为描述：	修改文件内容
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe ---> Offset = 0 C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe ---> Offset = 2048 C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe ---> Offset = 4096 C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe ---> Offset = 6144 C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe ---> Offset = 8192

网络行为

行为描述：	下载文件
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe
行为描述：	连接指定站点
详情信息：	InternetConnectA: ServerName = ww****rg, PORT = 80, UserName = , Password = , hSession = 0x00cc0004, hConnect = 0x00cc0008, Flags = 0x00000000
行为描述：	打开HTTP连接
详情信息：	InternetOpenA: UserAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; KB974489), hSession = 0x00cc0004
行为描述：	建立到一个指定的套接字连接
详情信息：	URL: ww****rg, IP: **.133.40.**:80, SOCKET = 0x000003c0
行为描述：	读取网络文件
详情信息：	hFile = 0x00cc000c, BytesToRead =4096, BytesRead = 4096.
行为描述：	发送HTTP包
详情信息：	GET /IUYknej3??HlyKqQflO=HlyKqQflO HTTP/1.1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0) Accept-Encoding: gzip, deflate Host: ww****rg Connection: Keep-Alive
行为描述：	打开HTTP请求
详情信息：	HttpOpenRequestA: ww****rg:80/iuyknej3??hlykqqflo=hlykqqflo, hConnect = 0x00cc0008, hRequest = 0x00cc000c, Verb: GET, Referer: , Flags = 0x00400000
行为描述：	按名称获取主机地址
详情信息：	GetAddrInfoW: ww****rg

注册表行为

行为描述：	修改注册表
详情信息：	\REGISTRY\USER\S-*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
行为描述：	删除注册表键值
详情信息：	\REGISTRY\USER\S-*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer \REGISTRY\USER\S-*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride \REGISTRY\USER\S-*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL

其他行为

行为描述：	创建互斥体
详情信息：	CTF.LBES.MutexDefaultS-* CTF.Compart.MutexDefaultS-* CTF.Asm.MutexDefaultS-* CTF.Layouts.MutexDefaultS-* CTF.TMD.MutexDefaultS-* CTF.TimListCache.FMPDefaultS-*MUTEX.DefaultS-* Local\ZonesCounterMutex Local\ZoneAttributeCacheCounterMutex Local\ZonesCacheCounterMutex Local\ZonesLockedCacheCounterMutex RasPbFile
行为描述：	创建事件对象
详情信息：	EventName = Global\crypt32LogoffEvent
行为描述：	打开事件
详情信息：	MSFT.VSA.COM.DISABLE.2468 MSFT.VSA.IEC.STATUS.6c736db0 Global\crypt32LogoffEvent \SECURITY\LSA_AUTHENTICATION_INITIALIZED Global\SvcctrlStartEvent_A3752DX \INSTALLATION_SECURITY_HOLD HookSwitchHookEnabledEvent
行为描述：	可执行文件签名信息
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe(签名验证: 未通过)
行为描述：	可执行文件MD5
详情信息：	C:\Documents and Settings\Administrator\Local Settings\Temp\HlyKqQflO2.exe ---> fe1d0ee5901dd167ee9b28eece31786c
行为描述：	打开互斥体
详情信息：	ShimCacheMutex Local\_!MSFTHISTORY!_ Local\c:!documents and settings!administrator!local settings!temporary internet files!content.ie5! Local\c:!documents and settings!administrator!cookies! Local\c:!documents and settings!administrator!local settings!history!history.ie5! Local\WininetStartupMutex Local\WininetConnectionMutex Local\WininetProxyRegistryMutex Local\!IETld!Mutex RasPbFile

进程树

• [url=]wscript.exe (PID: 0x000009a4)[/url]
  • [url=]cmd.exe (PID: 0x00000a60)[/url]
    • [url=]hlykqqflo2.exe (PID: 0x00000a74)[/url]
      
    
    
  
  

蓝天二号

ESET   2X