【04.05】#VirusPackage 7x

Jerry.Lin

https://abuaaedugr-my.sharepoint ... CtUGQmJMoA?e=cQYqoY

Malicious URL（Real-World Test）

1. http://sizov.de/cqjz/
   
2. http://ziscvhneqwfwehif.com/KOMIT/testv.php?l=pasasing4.class
   
3. http://andonia.com/54BT0dK/
   
4. http://anatexis.de/RXDWHpi/
   
5. http://dijqwenahsud.com/NOIT/testv.php?l=gotit1.class
   
6. http://steamer10theatre.org/wp-admin/js/01aia.exe
   
7. http://moritzmebesius.de/U38x6d/
   
8. http://m.uploadedit.com/bbtc/1522878929581.pdf

复制代码

fungzx

ESET
清空

xu378947986

卡巴斯基文件全kill

aboringman

ESET：网页拦截 2，4，5；miss 1，3，6；7已失效。
扫描kill all files.

Jirehlov1234

卡巴

样本

RXDWHpi.exe UDS:DangerousObject.Multi.Generic

U38x6d.exe UDS:DangerousObject.Multi.Generic

file1name.exe HEUR:Trojan.MSIL.Generic

1522878929581.pdf HEUR:Trojan-Dropper.Win32.Generic

testv.php.exe UDS:Trojan-Spy.Win32.Ursnif.sb

Faktura_VAT_3798925626668278cb6241fb6d50328a2.exe UDS:Trojan.Win32.Generic

164929.exe UDS:Trojan.Win32.Generic

URL

网页杀的

http://steamer10theatre.org/wp-admin/js/01aia.exe KSN

http://andonia.com/54bt0dk KSN

http://moritzmebesius.de/u38x6d KSN

文件杀的

http://sizov.de/cqjz/ UDS:DangerousObject.Multi.Generic

2d085b38-c2c7-48ce-9ae4-f2d32365ca51.tmp UDS:Trojan-Spy.Win32.Ursnif.sb

http://anatexis.de/RXDWHpi/ UDS:DangerousObject.Multi.Generic

gotit1.class UDS:Trojan.Win32.Generic

http://m.uploadedit.com/bbtc/1522878929581.pdf HEUR:Trojan-Dropper.Win32.Generic

f_00020e HEUR:Trojan-Dropper.Win32.Generic

2d085b38-c2c7-48ce-9ae4-f2d32365ca51.tmp 就是 pasasing4.class

WCMS

SEP 7/7
剩余Faktura_VAT_3798925626668278cb6241fb6d50328a2.exe   0kb?

dg1vg4

瑞星杀毒软件 扫描发现 4项威胁


在经过了一番上报之后，瑞星将剩下的3个样本也报了毒。

诸葛亮

红伞kill all

小飞侠.net

X-Sec Antivirus ---（Windows 10 Creators Update（Redstone 3）....）：

Basic Info:
---------------------
Database Version: 2018.04.02.01
Program Version: 2.1.1.0
Heuristic Engine: Enabled
Cloud Engine: Enabled
Enhanced Mode: Disabled
Backup Before Resolve: Yes
Resolve Threats: Scan only
Scan Priority: Normal
---------------------
Targets:
---------------------
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405
---------------------
2018/04/05 22:59:52 Threat Detected: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\1522878929581.pdf -- [Cloud] Cloud:Trojan.Win32.Injector
2018/04/05 22:59:56 Threat Detected: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\164929.exe -- [Cloud] Cloud:Trojan.Win32.Ursnif
2018/04/05 22:59:59 Threat Detected: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\Faktura_VAT_3798925626668278cb6241fb6d50328a2.exe -- [Cloud] Cloud:Trojan.Win32.Generic
2018/04/05 22:59:59 Threat Detected: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\RXDWHpi.exe -- [Cloud] Cloud:Trojan.Win32.Emotet
2018/04/05 23:00:02 Threat Detected: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\file1name.exe -- [Cloud] Cloud:Trojan.Win32.Generic
2018/04/05 23:00:03 Threat Detected: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\U38x6d.exe -- [Cloud] Cloud:Trojan.Win32.Emotet
2018/04/05 23:00:07 Threat Detected: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\testv.php.exe -- [Cloud] Cloud:Trojan.Win32.Ursnif





Emsisoft Emergency Kit - 版本 2018.3
上次更新： 2018/4/5 22:47:38
用户帐号： TECLAST\Admin
电脑名称： TECLAST
操作系统版本： Windows 10x64

Emsisoft Emergency Kit 绿色免费版
(已开启)加入 Emsisoft 云、更新源：测试版
    Bitdefender（B）+Emsisoft（A） 双引擎

扫描设置：

扫描方式： 自定义扫描
对象： Rootkits, 内存, C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\

检测流氓软件(PUPs)： On
扫描压缩包： On
扫描邮件存档： Off
ADS数据流： On
文件扩展名过滤： Off
直接磁盘访问： Off

扫描开始于：        2018/4/5 22:48:52
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\RXDWHpi.exe         发现风险： Trojan.GenericKD.30548262 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\1522878929581.pdf         发现风险： Trojan.GenericKD.30547741 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\U38x6d.exe         发现风险： Trojan.GenericKD.30547978 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\164929.exe         发现风险： Trojan.GenericKD.30548133 (B) [krnl.xmd]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\testv.php.exe         发现风险： Trojan.GenericKD.30548209 (B) [krnl.xmd]

已扫描        1842
发现        5

扫描完成后：        2018/4/5 22:49:13
扫描时间：        0:00:21



火绒安全---（ Windows 7 Ultimate with SP1 简体中文旗舰版....）：部分未知文件已发送到seclab@huorong.cn，等处理中。。。

病毒库：2018-04-05 15:24
开始时间：2018-04-05 21:50
总计用时：00:00:07
扫描对象：126个
扫描文件：7个
发现风险：4个
已处理风险：0个
发现系统修复项：0个
处理系统修复项：0个

病毒详情

风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus7x 0405\Faktura_VAT_3798925626668278cb6241fb6d50328a2.exe, 病毒名：HEUR:VirTool/Obfuscator.gen!A, 病毒ID：[a5a7938d38833819], 处理结果：已忽略
风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus7x 0405\file1name.exe, 病毒名：Trojan/MSIL.Obfuscated.au, 病毒ID：[92524c6e479609de], 处理结果：已忽略
风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus7x 0405\164929.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：[b27d4294cde6a1ec], 处理结果：已忽略
风险路径：C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus7x 0405\testv.php.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：[b27d4294cde6a1ec], 处理结果：已忽略

文件名称: C:\Users\xfxnet2000\Desktop\MX Player Pro\175418360\145802370\479704092\AVTest100\Virus7x 0405.rar
文件大小: 2.97 MB (3,123,745 字节)
修改时间: 2018年04月05日，21:47:17
MD5: 27D1F6D46AA5DAB59F580FCDE5FC4221
SHA1: B6048E137D34203BA433B86B5154C77CC3296EA5
SHA256: D381E39DB8C955CF1A8AF59C3E097D1597B96A79A3D2104BB7C39A477E52E0CA
SHA512: 2008D3585F6C759AFF5FE79D8FF2850A4B4C0CD91D4B020DEE461A8F4A341FF40A5243AE901D2057A1BF9482CD15EC8BF180BF468F40A2DD1FB461AB00589903
CRC32: D1BCED98
计算时间: 0.09s


ESET Smart Security Premium 64位（高级启发式（Y）+压缩文件（Y）+自解压加壳（Y）+DNA智能签名（Y）++（Windows 10 Creators Update（Redstone 3）....）：

日志
正在扫描日志
检测引擎的版本: 17171P (20180405)
日期: 2018/4/5  时间: 22:25:21
已扫描的磁盘、文件夹和文件: C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\1522878929581.pdf - Win32/Injector.DXBI 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\164929.exe - Win32/Spy.Ursnif.BO 特洛伊木马 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\Faktura_VAT_3798925626668278cb6241fb6d50328a2.exe - Win32/Kryptik.GEXD 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\file1name.exe - MSIL/Kryptik.NMB 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\RXDWHpi.exe - Win32/Kryptik.GFFN 特洛伊木马 的变种 - 通过删除清除 [1]
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\testv.php.exe - Suspicious Object - 扫描完成后再选择处理方式
C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405\Virus7x 0405\U38x6d.exe - Win32/Kryptik.GFFN 特洛伊木马 的变种 - 通过删除清除 [1]
已扫描的对象数: 7
发现的威胁数: 7
已清除对象数: 6
完成时间: 22:25:31  总扫描时间: 10 秒 (00:00:10)

备注:
[1] 由于对象中仅包含病毒主体，因此已被删除。

                          ,,,                               ,,,      
瑞星---（Windows 10 Creators Update（Redstone 3）....）：云引擎（开）RDM+引擎（开）   

                瑞星反恶软引擎命令行扫描器（社区交流版）                 


编译于：Sep 22 2017   15:07:50

提示：
  - 本工具供社区交流使用，请勿用于其他用途
  - 本工具没有恶意软件删除、清除、隔离功能
  - 本工具包含开发中的新特性，结果仅供参考

* 命令行中的选项开关：-output-json -log=C:\瑞星RDM+引擎\ScanLog_180405225503.log
* 获取恶软签名库最新版本 ...
* 下载恶软签名库配置文件 ...
* 创建恶软签名库升级组件 ...
* 计算并下载增量文件 ...
* 升级恶软签名库 ...
* 恶软签名库升级成功
* 扫描目标 : (1) C:\Users\Admin\Desktop\AVtest100\b27d4294cde6a1ec000Virus7x 0405

* 加载恶软签名库： C:\瑞星RDM+引擎/malware.rmd
* 恶软签名库加载成功，发布序号为 4006
* 读取恶软签名库配置 ...
* 云辅助扫描组件初始化失败.
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
* 初始化引擎环境 ...
扫描开始: Thu Apr 05 22:55:27 2018

{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\b27d4294cde6a1ec000Virus7x 0405\\Virus7x 0405\\U38x6d.exe","infect":{"engine":"c64","signature":"YzY0OqUAIj694RGN","threat":"Trojan.Cloxer!8.F54F"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\b27d4294cde6a1ec000Virus7x 0405\\Virus7x 0405\\RXDWHpi.exe","infect":{"engine":"sha1","signature":"c2hhMTrtC5OYDJf5nUNiQ+T5pr6qYuFS7A","threat":"Trojan.GenKryptik!8.AA55"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\b27d4294cde6a1ec000Virus7x 0405\\Virus7x 0405\\file1name.exe","infect":{"engine":"sha1","signature":"c2hhMTqNlOD03CvZt67y6qxCRwStTtHPLg","threat":"Trojan.Kryptik!8.8"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\b27d4294cde6a1ec000Virus7x 0405\\Virus7x 0405\\Faktura_VAT_3798925626668278cb6241fb6d50328a2.exe","infect":{"engine":"rdmk","signature":"cmRtazpJ+N5nPXm8D3xLNNit+B25","threat":"Trojan.Kryptik!8.8"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\b27d4294cde6a1ec000Virus7x 0405\\Virus7x 0405\\1522878929581.pdf","infect":{"engine":"sha1","signature":"c2hhMToX0DaKxFr3NQ0irRvqr3b8yeRxGw","threat":"Dropper.Generic!8.35E"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\b27d4294cde6a1ec000Virus7x 0405\\Virus7x 0405\\164929.exe","infect":{"engine":"rdmk","signature":"cmRtazpyWjYuDnIhijldpaoT/VJv","threat":"Malware.Heuristic!ET#87%"},"type":"scan"}
{"filename":"C:\\Users\\Admin\\Desktop\\AVtest100\\b27d4294cde6a1ec000Virus7x 0405\\Virus7x 0405\\testv.php.exe","infect":{"engine":"rdmk","signature":"cmRtazp368auL5O8dTQuRQIwYvHN","threat":"Malware.Heuristic!ET#82%"},"type":"scan"}

扫描结束: Thu Apr 05 22:55:27 2018

总扫描耗时: 0:0:459(m:s:ms)
总扫描对象: 7
总扫描文件: 7
总恶意文件: 7
有效检出率: 100.00%

XZ8SM7Sx0bVkoUV

火绒