【04.04】#VirusPackage 16x

Jerry.Lin

https://abuaaedugr-my.sharepoint ... MJnUHypGKA?e=dlL0nH



Malicious URL（Real-World Test）

1. http://files.lashawnbarber.com/emyy.exe
   
2. http://185.189.58.222/c.exe
   
3. http://bechner.com/jJVpxBq/
   
4. http://karasiainc.com/tom3.bin
   
5. http://112.126.94.107/shop/k.exe
   
6. http://www.alaine.fr/1cZtAy
   
7. http://servicelearning.thu.edu.tw/quakes.exe
   
8. http://dijqwenahsud.com/NOIT/testv.php?l=gotit5.class
   
9. http://zupaservices.info/exe/6.exe
   
10. http://vantasticsightseeing.com/wToxf3J/
    
11. http://sma-drmueller.de/8jkh873f?
    
12. http://aresgalaxydownload.org/wp-includes/rfd.exe
    
13. http://files.lashawnbarber.com/okk.exe
    
14. http://justwork.eu/xBdj5/

复制代码

小飞侠.net

ESET Smart Security Premium 64位（高级启发式（Y）+压缩文件（Y）+自解压加壳（Y）+DNA智能签名（Y）++（Windows 10 Creators Update（Redstone 3）....）：

日志
正在扫描日志
检测引擎的版本: 17166 (20180404)
日期: 2018/4/4  时间: 20:58:38
已扫描的磁盘、文件夹和文件: C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(10).exe - Win32/TrickBot.AN 特洛伊木马 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(12).exe - Win32/Kryptik.GFDE 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(13).exe - Win32/GenKryptik.BVVQ 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(14).exe > AUTOIT > script.bin - Win32/TrojanDownloader.Autoit.OIV 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(15).exe - MSIL/Kryptik.NGX 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(16).exe - Win32/Injector.DXAV 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(2).exe - Win32/Sality.NBA 病毒 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(3).exe - Win32/Kryptik.GFEC 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(4).exe - Win32/Kryptik.GFEE 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(5).exe - MSIL/Kryptik.MYM 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(6).exe - MSIL/Kryptik.MYM 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(7).exe - Win32/Kryptik.GFCZ 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(8).exe - Win32/Injector.DXAH 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(9).exe - Win32/Packed.Asprotect.FQ 特洛伊木马 的变种 - 通过删除清除 [1]
已扫描的对象数: 67
发现的威胁数: 14
已清除对象数: 14
完成时间: 20:58:53  总扫描时间: 15 秒 (00:00:15)

备注:
[1] 由于对象中仅包含病毒主体，因此已被删除。



火绒安全---（ Windows 7 Ultimate with SP1 简体中文旗舰版....）：部分未知文件已发送到seclab@huorong.cn，等处理中。。。

病毒库：2018-04-04 16:33
开始时间：2018-04-04 20:49
总计用时：00:00:14
扫描对象：253个
扫描文件：16个
发现风险：5个
已处理风险：0个
发现系统修复项：0个
处理系统修复项：0个

病毒详情

风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus16x 0404\(1).exe, 病毒名：HVM:Trojan/Pliskal.a, 病毒ID：[726b2fdc43dffd56], 处理结果：已忽略
风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus16x 0404\(2).exe, 病毒名：Trojan/TrashBytes.a, 病毒ID：[7b2c96cad89af43d], 处理结果：已忽略
风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus16x 0404\(16).exe, 病毒名：Trojan/VBInject.b, 病毒ID：[e2ec2b122e102473], 处理结果：已忽略
风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus16x 0404\(7).exe, 病毒名：HVM:Ransom/GandCrab.a, 病毒ID：[c3f3db3a5d699cac], 处理结果：已忽略
风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus16x 0404\(14).exe, 病毒名：TrojanDownloader/AutoIT.Agent.b, 病毒ID：[5a0c598c14a49306], 处理结果：已忽略

文件名称: C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus16x 0404.rar
文件大小: 4.86 MB (5,098,309 字节)
修改时间: 2018年04月04日，20:43:44
MD5: 6B0EBB91E59BFE354159F9892DF33C3D
SHA1: EF8B43A59F5115565FB2B2D896E3FB26ED9DB843
SHA256: 113CAAAB341C5D32D8F12EB7A12C69FDBEAE9AF6A0C91AB29E8AB5B6C0B0EE2C
SHA512: 4DE487E88A6DF42581A6E7B2FAB80E8ADE068EDB6559AE3687F2660111E126DF4BE6361D4A9A0A8A38D53823DA8F3CB34D5B24BE9291733BA4F408A0BB54F1AE
CRC32: 485B6F60
计算时间: 0.20s

  瑞星---（Windows 10 Creators Update（Redstone 3）....）：云引擎（开）RDM+引擎（开）   

                瑞星反恶软引擎命令行扫描器（社区交流版）                 


编译于：Sep 22 2017   15:07:50

提示：
  - 本工具供社区交流使用，请勿用于其他用途
  - 本工具没有恶意软件删除、清除、隔离功能
  - 本工具包含开发中的新特性，结果仅供参考

* 命令行中的选项开关：-output-json -log=C:\瑞星RDM+引擎\ScanLog_180404210608.log
* 获取恶软签名库最新版本 ...
* 下载恶软签名库配置文件 ...
* 创建恶软签名库升级组件 ...
* 计算并下载增量文件 ...
* 升级恶软签名库 ...
* 恶软签名库升级成功
* 扫描目标 : (1) C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306

* 加载恶软签名库： C:\瑞星RDM+引擎/malware.rmd
* 恶软签名库加载成功，发布序号为 4000
* 读取恶软签名库配置 ...
* 云辅助扫描组件初始化失败.
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
扫描开始: Wed Apr 04 21:06:23 2018

{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(1).exe","infect":{"engine":"rdmk","signature":"cmRtazok3av8Kkd8GXlijcwFjHdO","threat":"Malware.Heuristic!ET#99%"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(15).exe","infect":{"engine":"sha1","signature":"c2hhMTqOwRyGgcM/ZShDJ9BhAMrLcN6vaA","threat":"Trojan.Kryptik!8.8"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(16).exe","infect":{"engine":"c64","signature":"YzY0Oryxeo9vhReW","threat":"Trojan.GenKryptik!8.AA55"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(12).exe","infect":{"engine":"sha1","signature":"c2hhMToaUFu1VGL7+JgAvOrUr29G3nSJ9A","threat":"Trojan.Injector!1.AFE3"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(14).exe","infect":{"engine":"sha1","signature":"c2hhMToroPWRTwd3w8RJWiA9sUMv/YNPkw","threat":"Downloader.Autoit!8.1B9"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(3).exe","infect":{"engine":"tfe","signature":"dGZlOgMqS+fuLqX5Tw","threat":"Trojan.Kryptik!8.8"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(2).exe","infect":{"engine":"rdmk","signature":"cmRtazpSlUvoS2jMEbxGSHT5prHz","threat":"Malware.Heuristic!ET#80%"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(4).exe","infect":{"engine":"sha1","signature":"c2hhMTo4claMollOpc6xUJ4rnehZ1gmxsA","threat":"Trojan.Azden!8.F0E3"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(10).exe","type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(7).exe","infect":{"engine":"sha1","signature":"c2hhMToV3pdo+K6NzEYqnTM4K9huzVklrA","threat":"Trojan.Kryptik!8.8"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(8).exe","infect":{"engine":"sha1","signature":"c2hhMTr1HJbnlNlkvxNu6QrrLoNM2oxlTA","threat":"Trojan.Injector!8.C4"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(5).exe","infect":{"engine":"sha1","signature":"c2hhMTp9xwta6ReDfmxtPOH0qJFG2N1rEA","threat":"Trojan.Kryptik!8.8"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(13).exe","type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(9).exe","type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(6).exe","infect":{"engine":"sha1","signature":"c2hhMTqAu6s8F+zYXtjCTCQHPTmiv5BF4w","threat":"Trojan.Kryptik!8.8"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\Virus16x 0404to5a0c598c14a49306\\Virus16x 0404\\(11).exe","type":"scan"}

扫描结束: Wed Apr 04 21:06:29 2018

总扫描耗时: 0:6:161(m:s:ms)
总扫描对象: 115
总扫描文件: 16
总恶意文件: 12
有效检出率: 75.00%



Emsisoft Emergency Kit - 版本 2018.3
上次更新： 2018/4/4 20:35:08
用户帐号： TECLAST\Admin
电脑名称： TECLAST
操作系统版本： Windows 10x64

Emsisoft Emergency Kit 绿色免费版
(已开启)加入 Emsisoft 云、更新源：测试版
    Bitdefender（B）+Emsisoft（A） 双引擎

扫描设置：

扫描方式： 自定义扫描
对象： Rootkits, 内存, C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\

检测流氓软件(PUPs)： On
扫描压缩包： On
扫描邮件存档： On
ADS数据流： On
文件扩展名过滤： Off
直接磁盘访问： Off

扫描开始于：        2018/4/4 21:03:35
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(10).exe         发现风险： Trojan.GenericKD.30539464 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(12).exe         发现风险： Trojan.GenericKD.30537049 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(2).exe         发现风险： Trojan.SalityStub.F (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(3).exe         发现风险： Trojan.GenericKD.30538712 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(14).exe         发现风险： Gen:Variant.Strictor.154928 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(16).exe         发现风险： Gen:Variant.Razy.292149 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(7).exe         发现风险： Trojan.GenericKD.30533679 (B) [krnl.xmd]

已扫描        1859
发现        7

扫描完成后：        2018/4/4 21:04:02
扫描时间：        0:00:27

X-Sec Antivirus ---（Windows 10 Creators Update（Redstone 3）....）：

Basic Info:
---------------------
Database Version: 2018.04.02.01
Program Version: 2.1.1.0
Heuristic Engine: Enabled
Cloud Engine: Enabled
Enhanced Mode: Disabled
Backup Before Resolve: Yes
Resolve Threats: Scan only
Scan Priority: Normal
---------------------
Targets:
---------------------
C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306
---------------------
2018/04/04 21:09:59 Threat Detected: C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(14).exe -- [Classic] Trojan.Win32.Autoit.Fo
2018/04/04 21:10:04 Threat Detected: C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(13).exe -- [Heuristic] Heur:Trojan.Win32.Gen.6
2018/04/04 21:10:09 Threat Detected: C:\Users\Admin\Desktop\AVtest100\Virus16x 0404to5a0c598c14a49306\Virus16x 0404\(7).exe -- [Cloud] Cloud:Trojan.Win32.Ransom

WCMS

BD Free 7/16发现BD的上报网站在我这点击提交没反应啊，，

dongwenqi

小飞侠.net 发表于 2018-4-4 20:42
火绒安全---（ Windows 7 Ultimate with SP1 简体中文旗舰版....）：部分未知文件已发送到，等处理中。。。 ...

卡巴杀15个，剩余8.exe,上报

761773275

费尔托斯特安全 杀3个
X-Sec Antivirus 杀3个

ClamAV 杀2个

G DATA 全杀

小飞侠.net

dongwenqi 发表于 2018-4-4 20:56
卡巴杀15个，剩余8.exe,上报

NOD32少杀二个

猥琐大叔

卧槽 小红伞全杀哈哈

Jerry.Lin

dongwenqi 发表于 2018-4-4 20:56
卡巴杀15个，剩余8.exe,上报

可以贴下报毒名吗？

我想看下有多少是UDS呢

Jirehlov1234

卡巴

样本

(1).exe UDS:Trojan-Banker.Win32.Emotet.sb
(2).exe Trojan.Win32.Small.cox
(3).exe UDS:DangerousObject.Multi.Generic
(4).exe UDS:DangerousObject.Multi.Generic
(5).exe UDS:Trojan.Win32.Generic
(6).exe HEUR:Trojan.Win32.Generic
(7).exe Trojan.Win32.Chapak.jdm
(9).exe UDS:P2P-Worm.Win32.Palevo
(10).exe UDS:DangerousObject.Multi.Generic
(11).exe HEUR:Trojan.Win32.Generic
(12).exz Trojan-Spy.Noon.kfe
(13).exe UDS:Trojan.Win32.Generic
(14).exe UDS:DangerousObject.Multi.Generic
(14).exe/script.au3 HEUR:Trojan.Win32.Generic
(15).exe UDS:Trojan.Win32.Generic
(16).exe UDS:Trojan.Win32.Generic

URL

没杀的

http://justwork.eu/xBdj5/

网页杀的

http://185.189.58.222/c.exe 网址列于恶意网址数据库中
http://karasiainc.com/tom3.bin 网址列于恶意网址数据库中
http://bechner.com/jjvpxbq KSN
http://112.126.94.107/shop/k.exe KSN
http://www.alaine.fr/1cztay KSN
http://zupaservices.info/exe/6.exe KSN
http://vantasticsightseeing.com/wtoxf3j KSN
http://zupaservices.info/favicon.ico KSN
http://aresgalaxydownload.org/wp-includes/rfd.exe 网址列于钓鱼网址数据库中
http://aresgalaxydownload.org/favicon.ico 网址列于钓鱼网址数据库中
http://files.lashawnbarber.com/okk.exe KSN

文件杀的

http://files.lashawnbarber.com/emyy.exe UDS:Trojan.Win32.Generic
http://servicelearning.thu.edu.tw/quakes.exe HEUR:Worm.Win32.Generic
http://sma-drmueller.de/8jkh873f? UDS:Trojan-Banker.Win32.Emotet.sb
http://dijqwenahsud.com/NOIT/testv.php?l=gotit5.class UDS:DangerousObject.Multi.Generic

dongwenqi

191196846 发表于 2018-4-4 21:10
可以贴下报毒名吗？

我想看下有多少是UDS呢

9楼已经出来了