#PACKAGE 0823

Jerry.Lin

蓝奏

Total : 29


#勿传VT
#在样本有效期内（24小时），建议无需手动上报样本至厂商，便于其他人测试行为拦截，响应速度等
#样本序号以收集时间顺序排序，越大代表越接近现在时间

#原始样本在ESET LiveGrid 云系统 被发现的时间




回帖格式建议

杀软名称 + 时间
查杀数量+查杀率


例如：
XXX 20:39
Samples(5/10) 50%

YU2711

趋势科技 扫锚7/29
0823(16).exe  TSPY_HPLOKI.SMBD0823(8).exe    TrojanSpy.Win32.LOKI.SMBD1.hp
0823(28).exe  TrojanSpy.Win32.LOKI.SMBD1.hp
0823(4).exe    TSPY_HPLOKI.SMBD
0823(17).exe  TrojanSpy.Win32.LOKI.SMBD1.hp
0823(3).exe    TSPY_HPLOKI.SM1
0823(23).exe  TSPY_HPLOKI.SMBD
                                       双击
c:\users\user\downloads\package 0823\0823(1).exe  HEU_AEGISCS985
C:\Users\USER\Downloads\PACKAGE 0823\0823(2).exe    阻挡行为   
C:\Users\USER\Downloads\PACKAGE 0823\0823(5).exe   阻挡行为 ZwWriteVirtualMemory
C:\Users\USER\Downloads\PACKAGE 0823\0823(6).exe   阻挡行为 ZwWriteVirtualMemory
0823(7).exe衍生物C:\Users\USER\AppData\Roaming\HGDMjwIdvXcA.exe    Trojan.Win32.FormBook.SM
C:\Users\USER\Downloads\PACKAGE 0823\0823(9).exe   阻挡行为
C:\Users\USER\Downloads\PACKAGE 0823\0823(10).exe MISS
C:\Users\USER\Downloads\PACKAGE 0823\0823(11).exe HTTP_LOKI_REQUEST
C:\Users\USER\Downloads\PACKAGE 0823\0823(12).exe HEU_AEGISCS985
C:\Users\USER\Downloads\PACKAGE 0823\0823(13).exe 阻挡行为C:\Users\USER\AppData\Local\WindowsUtilities.exeC:\Users\USER\Downloads\PACKAGE 0823\0823(14).exe 阻挡行为C:\Users\USER\AppData\Local\WindowsUtilities.exe
C:\Users\USER\Downloads\PACKAGE 0823\0823(15).exe 阻挡行为 ZwWriteVirtualMemory
C:\Users\USER\Downloads\PACKAGE 0823\0823(18).exe HEU_AEGIS_CRYPT 回滚了一些文件
C:\Users\USER\Downloads\PACKAGE 0823\0823(19).exe TSPY_FAREIT.MIP00000001
C:\Users\USER\Downloads\PACKAGE 0823\0823(20).exe MISS
C:\Users\USER\Downloads\PACKAGE 0823\0823(21).exe MISS
C:\Users\USER\Downloads\PACKAGE 0823\0823(22).exe 阻挡行为 ZwWriteVirtualMemory
C:\Users\USER\Downloads\PACKAGE 0823\0823(24).exe MISS自删
C:\Users\USER\Downloads\PACKAGE 0823\0823(25).exe 无法运行
C:\Users\USER\Downloads\PACKAGE 0823\0823(26).exe MISS
C:\Users\USER\Downloads\PACKAGE 0823\0823(27).exe HTTP_DAGOZILL_REQUEST 删除





0823(7).exeTROJ_GEN.R020C0WHN18  
0823(29).exeTROJ_GEN.R020C0OHN18

Picca

22:00 卡巴扫描 15 + 双击
2  PDM:Trojan.Win32.Badur.a
5  PDM:Trojan.Win32.Badur.a
6  常驻内存，调用ie访问恶意网址，卡巴阻止
14 PDM:Trojan.Win32.Generic
15 PDM:Trojan.Win32.Generic
16 自退出
18 PDM:Trojan.Win32.Generic
19 PDM:Trojan.Win32.Generic
20 停止工作
21 自退出
22 调用powershell,PDM:Exploit.Win32.Generic
23 自退出
24 C:\Users\AppData\Local\Temp\CCF6.tmp;UDS:Trojan-Banker.Win32.RTM.sb,然后本体退出
27 PDM:Exploit.Win32.Generic.nblk



*测试单个样本未重启，未使用高级清除

静影沉璧

BD2019

时间：22:40-23:20

扫描：21/29

C:\Users\Administrator\Desktop\PACKAGE 0823\0823(26).exe	Trojan.GenericKD.40419202	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(8).exe	Trojan.Agent.DDKY	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(24).exe	Trojan.GenericKD.40422091	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(6).exe	Trojan.GenericKD.40421519	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(1).exe	Trojan.GenericKD.40420364	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(9).exe	Trojan.GenericKD.40421724	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(5).exe	Trojan.Autoruns.GenericKDS.31179032	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(4).exe	Trojan.Agent.DDJV	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(28).exe	Trojan.Agent.DDKY	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(20).exe	Gen:Suspicious.Cloud.8.Dm1@aq0AHEmi	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(2).exe	Trojan.Autoruns.GenericKDS.31179014	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(3).exe	Gen:Suspicious.Cloud.8.PL3@au4LhLfo	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(12).exe	Gen:Variant.Razy.381933	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(7).exe	Gen:Variant.Razy.381947	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(16).exe	Trojan.GenericKD.40422209	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(19).exe	Gen:Suspicious.Cloud.8.Fm1@aGPRXTji	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(21).exe	Gen:Variant.Razy.380846	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(10).exe	Trojan.GenericKD.40421687	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(15).exe	Trojan.GenericKD.40421473	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(17).exe	Trojan.Agent.DDKY	Deleted
C:\Users\Administrator\Desktop\PACKAGE 0823\0823(11).exe	Trojan.GenericKD.40421207	Deleted

双击：
The file c:\users\administrator\desktop\package 0823\0823(13).exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.

The file c:\users\administrator\desktop\package 0823\0823(14).exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.
The file c:\users\administrator\desktop\package 0823\0823(18).exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.（该样本同时触发OTP，Ransomware remediation，Antivirus，ATD，处理了12分钟……）
The file c:\users\administrator\desktop\package 0823\0823(22).exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.
The file c:\users\administrator\desktop\package 0823\0823(23).exe is infected with Gen:Suspicious.Cloud.8.HGX@aurmQAai and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.
The file c:\users\administrator\desktop\package 0823\0823(25).exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.
The file c:\users\administrator\desktop\package 0823\0823(29).exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.
剩余样本双击结果：
27号样本运行几分钟后自退，BD无反应。
Total：28/29 96.6%

心痛的伤不起

新鲜的火绒 补张图【1】2018-08-23 23:15:59,系统防御,注册表保护,cmd.exe触犯注册表防护规则, 已阻止

操作者：C:\Windows\SysWOW64\cmd.exe
命令行："C:\Windows\SysWOW64\cmd.exe"
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\KDUL0VBPVBM
操作类型：写入
数据内容：C:\Program Files (x86)\Ewpx\cdsdxfaglfl_r8x.exe
用户操作：已阻止
【2】2018-08-23 23:10:31,系统防御,注册表保护,WindowsUtilities.exe触犯注册表防护规则, 已阻止

操作者：C:\Users\555\AppData\Local\WindowsUtilities.exe
命令行："C:\Users\555\AppData\Local\WindowsUtilities.exe"
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Application
操作类型：写入
数据内容：C:\Users\555\AppData\Local\WindowsUtilities.exe -boot
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【2】2018-08-23 23:09:38,系统防御,注册表保护,WindowsUtilities.exe触犯注册表防护规则, 已阻止

操作者：C:\Users\555\AppData\Local\WindowsUtilities.exe
命令行："C:\Users\555\AppData\Local\WindowsUtilities.exe"
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Application
操作类型：写入
数据内容：C:\Users\555\AppData\Local\WindowsUtilities.exe -boot
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【3】2018-08-23 23:09:06,系统防御,注册表保护,wmiprvse.exe触犯注册表防护规则, 已阻止

操作者：C:\Windows\sysWOW64\wbem\wmiprvse.exe
命令行：C:\Windows\sysWOW64\wbem\wmiprvse.exe -secured -Embedding
风险动作：修改启动项
目标注册表：HKEY_USERS\S-1-5-21-3791476695-3221401129-2766986884-1001\Software\Microsoft\Windows\CurrentVersion\Run\atmlapin
操作类型：写入
数据内容：cmd.exe /C powershell invoke-expression([System.Text.Encoding]::ASCII.GetString((get-itemproperty 'HKCU:\Software\AppDataLow\So
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【4】2018-08-23 23:08:42,病毒防御,文件实时监控,发现病毒Trojan/Generic!58E463CD59E2DD25, 已清除

操作者：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe
病毒路径：C:\Users\555\AppData\Local\Temp\SH3.exe
病毒名称：Trojan/Generic!58E463CD59E2DD25
病毒ID：58E463CD59E2DD25
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【5】2018-08-23 23:08:27,系统防御,注册表保护,RegAsm.exe触犯注册表防护规则, 已阻止

操作者：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe
命令行："C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\MyOtApp
操作类型：写入
数据内容：C:\Users\555\AppData\Roaming\MyOtApp\MyOtApp.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【6】2018-08-23 23:08:17,系统防御,注册表保护,lunamute.exe触犯注册表防护规则, 已阻止

操作者：C:\Users\555\AppData\Local\Microsoft\Windows\lunamute.exe
命令行："C:\Users\555\AppData\Local\Microsoft\Windows\lunamute.exe"
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\lunamute
操作类型：写入
数据内容："C:\Users\555\AppData\Local\Microsoft\Windows\lunamute.exe"
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【7】2018-08-23 23:08:11,系统防御,注册表保护,RegAsm.exe触犯注册表防护规则, 已阻止

操作者：C:\Windows\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe
命令行："C:\Windows\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe"
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WPA Manager
操作类型：写入
数据内容：C:\Users\555\AppData\Roaming\AE26E99B-688B-40DF-B67A-E7E11CAE2119\WPA Manager\wpamgr.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【8】2018-08-23 23:08:02,系统防御,文件保护,cmd.exe触犯文件防护规则, 已阻止

操作者：C:\Windows\SysWOW64\cmd.exe
命令行："C:\Windows\System32\cmd.exe" /c copy "C:\Users\555\Desktop\PACKAGE 0823\0823(25).exe" "C:\Users\555\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\java.exe"
风险动作：修改启动目录(扩展保护)
目标文件：C:\Users\555\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\java.exe
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【9】2018-08-23 23:07:43,病毒防御,恶意行为监控,发现未知病毒BEHAV:Ransom/Rattrap.A, 已清除

病毒名称：BEHAV:Ransom/Rattrap.A
文件路径：C:\Users\555\Desktop\PACKAGE 0823\0823(18).exe
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【10】2018-08-23 23:07:40,系统防御,文件保护,0823(7).exe触犯文件防护规则, 已阻止

操作者：C:\Users\555\Desktop\PACKAGE 0823\0823(7).exe
命令行："C:\Users\555\Desktop\PACKAGE 0823\0823(7).exe"
风险动作：修改启动目录
目标文件：C:\Users\555\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\music.url
用户操作：已阻止

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【11】2018-08-23 23:05:41,病毒防御,文件实时监控,发现病毒Trojan/VBInject.b, 已清除

操作者：C:\Program Files (x86)\360\360zip\360zip.exe
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(29).exe
病毒名称：Trojan/VBInject.b
病毒ID：E4BEEE39EA2E9885
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【12】2018-08-23 23:05:41,病毒防御,文件实时监控,发现病毒VirTool/Obfuscator.bh, 已清除

操作者：C:\Program Files (x86)\360\360zip\360zip.exe
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(3).exe
病毒名称：VirTool/Obfuscator.bh
病毒ID：A68045BCDE0933A3
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【13】2018-08-23 23:05:32,病毒防御,文件实时监控,发现病毒HEUR:Trojan/VBCode.be, 已清除

操作者：C:\Windows\Explorer.EXE
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(1).exe
病毒名称：HEUR:Trojan/VBCode.be
病毒ID：D38A4A7DE3D69B77
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【14】2018-08-23 23:05:32,病毒防御,文件实时监控,发现病毒HEUR:Trojan/VBCode.be, 已清除

操作者：C:\Program Files (x86)\360\360zip\360zip.exe
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(10).exe
病毒名称：HEUR:Trojan/VBCode.be
病毒ID：D38A4A7DE3D69B77
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【15】2018-08-23 23:05:32,病毒防御,文件实时监控,发现病毒HEUR:Trojan/VBCode.be, 已清除

操作者：C:\Program Files (x86)\360\360zip\360zip.exe
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(11).exe
病毒名称：HEUR:Trojan/VBCode.be
病毒ID：D38A4A7DE3D69B77
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【16】2018-08-23 23:05:32,病毒防御,文件实时监控,发现病毒Trojan/VBInject.b, 已清除

操作者：C:\Program Files (x86)\360\360zip\360zip.exe
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(12).exe
病毒名称：Trojan/VBInject.b
病毒ID：E4BEEE39EA2E9885
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【17】2018-08-23 23:05:32,病毒防御,文件实时监控,发现病毒HEUR:Trojan/VBCode.be, 已清除

操作者：C:\Program Files (x86)\360\360zip\360zip.exe
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(19).exe
病毒名称：HEUR:Trojan/VBCode.be
病毒ID：D38A4A7DE3D69B77
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【18】2018-08-23 23:05:32,病毒防御,文件实时监控,发现病毒HEUR:Trojan/VBCode.be, 已清除

操作者：C:\Windows\Explorer.EXE
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(20).exe
病毒名称：HEUR:Trojan/VBCode.be
病毒ID：D38A4A7DE3D69B77
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【19】2018-08-23 23:05:32,病毒防御,文件实时监控,发现病毒HEUR:VirTool/Obfuscator.gen!A, 已清除

操作者：C:\Program Fila6)\360\360zip\360zip.exe
病毒路径：C:\Users\555\Desktop\PACKAGE 0823\0823(24).exe
病毒名称：HEUR:VirTool/Obfuscator.gen!A
病毒ID：A5A7938D38833819
用户操作：已清除

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【20】2018-08-23 23:02:58,其他,升级日志,手动升级成功，版本号：4.0.69.9

升级方式：手动升级
升级结果：成功
版本号：4.0.69.9
下载文件：
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\db\malurl.db
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\virdb\prop.db
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\virdb\pset.db
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\virdb\troj.db
修改文件：
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\db\malurl.db
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\virdb\prop.db
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\virdb\pset.db
        2018-08-23 23:02:58 C:\ProgramData\Huorong\Sysdiag\virdb\troj.db

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

www-tekeze

智量占楼。。。

28/29，96.6%，剩余#12 。

cloud01

eset  20:23
Samples(29/29) 100%

solstice1988

红伞 22：00
27/29，94.87%

剩余6、22

梦想起航.

我就知道！！   金山0/28！！！！

a445441

卡巴：18/29=62%

www-tekeze

YU2711 发表于 2018-8-23 22:10
趋势科技 扫锚7/29
0823(16).exe  TSPY_HPLOKI.SMBD0823(8).exe    TrojanSpy.Win32.LOKI.SMB ...

才kill 7X，火绒都能杀9X 。。

cloud01

www-tekeze 发表于 2018-8-23 21:56
智量占楼。。。

28/29，96.6%，剩余#12 。

为什么你能跑到我前面去

www-tekeze

www-tekeze 发表于 2018-8-23 21:56
智量占楼。。。

28/29，96.6%，剩余#12 。

#12上报后kill，清空。。