#PACKAGE 0812

大明湖畔的乾隆

卫士杀12个，19：44剩余0812号样本
不好意思，这货自动上传了，忘了关

Panda Dome Complete（Without Application Control）
说明：Panda的应用程序控制只是执行控制，默认只放行可信程序，对未知程序可询问用户是否放行，类似于趋势防护等级开高。

扫描：
kill 3X：
3：可疑文件
5：Trj/Packed.B
10：Bck/Agent.KNM

双击：
1：移除衍生物 Amazon Inc. Web Services.exe（Trj/GdSda.A）及svchost.exe（可疑文件）
2：缺乏运行环境（.Net）
4：运行后删除自身
6：miss
7：miss
8：移除衍生物 crypted.exe（可疑文件）及 10DC.TMP（Trj/GdSda.A）
9：miss
11：W32/Exploit.gen
12：miss
13：miss

Total Detection Rate: (3+1)/13=30.77%

静影沉璧

SEP 20:26 虚拟机：扫描：10/13
双击：1号样本只杀衍生物，9号样本驻留内存，13号样本运行后自退
Total：10/13=76.9%

Jerry.Lin

WD

CloudBlockLevel = 6;


12/13

YU2711

NS  20:00

监控+扫描:13/13

静影沉璧

McAfee Endpoint Security 20:03 虚拟机：
扫描部分：
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: WIN-K5MPUC7HAOG\Administrator 运行了按需扫描“右键单击扫描”，在扫描 C:\Users\Administrator\Desktop\PACKAGE 0812\0812(10).exe 时检测到了名为 PUP-XBZ-OJ!F86727222D04 的 特洛伊木马程序。 扫描程序采取了以下操作: 继续扫描。
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: 其他信息:
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  主要操作: 清理
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  辅助操作: 继续扫描
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  事件 ID: 1292
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: WIN-K5MPUC7HAOG\Administrator 运行了按需扫描“右键单击扫描”，在扫描 C:\Users\Administrator\Desktop\PACKAGE 0812\0812(2).exe 时检测到了名为 Trojan-FIGN 的 特洛伊木马程序。 该文件已被删除。
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: 其他信息:
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  主要操作: 清理
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  辅助操作: 继续扫描
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  事件 ID: 1027
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: WIN-K5MPUC7HAOG\Administrator 运行了按需扫描“右键单击扫描”，在扫描 C:\Users\Administrator\Desktop\PACKAGE 0812\0812(6).exe 时检测到了名为 GenericRXCD-ZZ!F6E3CD79B7FE 的 特洛伊木马程序。 该文件已被删除。
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: 其他信息:
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  主要操作: 清理
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  辅助操作: 继续扫描
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  事件 ID: 1027
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: WIN-K5MPUC7HAOG\Administrator 运行了按需扫描“右键单击扫描”，在扫描 C:\Users\Administrator\Desktop\PACKAGE 0812\0812(5).exe 时检测到了名为 Generic BackDoor.xa 的 特洛伊木马程序。 该文件已被删除。
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: 其他信息:
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  主要操作: 清理
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  辅助操作: 继续扫描
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  事件 ID: 1027
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: WIN-K5MPUC7HAOG\Administrator 运行了按需扫描“右键单击扫描”，在扫描 C:\Users\Administrator\Desktop\PACKAGE 0812\0812(3).exe 时检测到了名为 GenericRXBK-CP!C7C1628229E0 的 特洛伊木马程序。 该文件已被删除。
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity: 其他信息:
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  主要操作: 清理
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  辅助操作: 继续扫描
2018/8/12 20:03:14    mfetp(5724.4664) <SYSTEM> odsbl.ODS.Activity:  事件 ID: 1027
双击部分：
有个双击样本是勒索软件，迈克菲没能防住，后缀被改为rapid，测试无法进行
Total：5/13=38.5%

Jirehlov1234

静影沉璧 发表于 2018-8-12 20:17
McAfee Endpoint Security 20:03 虚拟机：
扫描部分：
2018/8/12 20:03:14    mfetp(5724.4664)  odsbl.O ...

rapid是11号

原件：
https://www.virustotal.com/#/fil ... d93b30034/detection

https://malwaretips.com/threads/ ... n-12-08-2018.85902/

https://www.hybrid-analysis.com/ ... 4?environmentId=100

静影沉璧

Jirehlov1234 发表于 2018-8-12 20:25
rapid是11号

原件：

感谢解答

275751198

www-tekeze 发表于 2018-8-12 19:47
这次没用火绒当筛选器？ 既然能杀6X 。。

大哥你真的想多了，这是纯纯的想多了。楼主是混国外杀软区的，对火绒不感兴趣。再说楼主要筛选也得用楼主的WD啊。

www-tekeze

275751198 发表于 2018-8-12 20:38
大哥你真的想多了，这是纯纯的想多了。楼主是混国外杀软区的，对火绒不感兴趣。再说楼主要筛选也得用楼主 ...

WD没有云？用WD筛选？厉害了我的哥。。。好吧，不多说了，算我想多了。。