BadJoke

安全守护者

谁敢双击，以身试毒

左手

1. 2018/8/28 星期二 08:22:25    创建文件 风险提示:低风险    允许
   
2. 进程: c:\users\administrator\desktop\hrsword.exe
   
3. 目标: C:\Users\Administrator\AppData\Local\Temp\F96B.tmp\F98B.tmp\F98C.bat
   
4. 规则: [应用程序]?:\*\*\*\* -> [文件]*temp\*; *.bat
   
5. 
   
6. 2018/8/28 星期二 08:22:29    创建文件 风险提示:低风险    允许
   
7. 进程: c:\users\administrator\desktop\hrsword.exe
   
8. 目标: C:\Users\Administrator\Desktop\helper.exe
   
9. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
   
10. 
    
11. 2018/8/28 星期二 08:22:29    修改文件 风险提示:敏感    阻止
    
12. 进程: c:\users\administrator\desktop\hrsword.exe
    
13. 目标: C:\Users\Administrator\Desktop
    
14. 规则: [应用程序]?:\*\*\*\* -> [文件]c:\users\administrator\*
    
15. 
    
16. 2018/8/28 星期二 08:22:35    创建新进程 风险提示:未知    允许
    
17. 进程: c:\users\administrator\desktop\hrsword.exe
    
18. 目标: c:\windows\system32\cmd.exe
    
19. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\F96B.tmp\F98B.tmp\F98C.bat C:\Users\Administrator\Desktop\HRsword.exe"
    
20. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
21. 
    
22. 2018/8/28 星期二 08:22:41    创建新进程 风险提示:未知    阻止
    
23. 进程: c:\windows\system32\cmd.exe
    
24. 目标: c:\windows\system32\reg.exe
    
25. 命令行: reg  add HKLM\SOFTWARE\MICROSOFT\WINDOWS\RUN /v Auto /t REG_SZ /d "C:\Users\Administrator\Desktop\helper.exe"
    
26. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\reg.exe
    
27. 
    
28. 2018/8/28 星期二 08:22:46    创建新进程 风险提示:未知    允许
    
29. 进程: c:\windows\system32\cmd.exe
    
30. 目标: c:\users\administrator\desktop\helper.exe
    
31. 命令行: C:\Users\Administrator\Desktop\helper.exe
    
32. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]*.exe
    
33. 
    
34. 2018/8/28 星期二 08:22:54    创建新进程 风险提示:未知    允许
    
35. 进程: c:\users\administrator\desktop\helper.exe
    
36. 目标: c:\windows\system32\cmd.exe
    
37. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\6547.tmp\6548.tmp\6549.bat C:\Users\Administrator\Desktop\helper.exe"
    
38. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
39. 
    
40. 2018/8/28 星期二 08:22:59    创建新进程 风险提示:未知    允许
    
41. 进程: c:\windows\system32\cmd.exe
    
42. 目标: c:\users\administrator\desktop\helper.exe
    
43. 命令行: C:\Users\Administrator\Desktop\helper.exe
    
44. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]*.exe
    
45. 
    
46. 2018/8/28 星期二 08:23:13    从其他进程复制句柄 风险提示:高风险    允许
    
47. 进程: c:\windows\system32\cmd.exe
    
48. 目标: c:\users\administrator\desktop\helper.exe
    
49. 句柄: (File) \Device\NamedPipe
    
50. 规则: [应用程序]?:\windows\system32\cmd.exe
    
51. 
    
52. 2018/8/28 星期二 08:23:18    创建新进程 风险提示:未知    允许
    
53. 进程: c:\users\administrator\desktop\helper.exe
    
54. 目标: c:\windows\system32\cmd.exe
    
55. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\9887.tmp\9888.tmp\9889.bat C:\Users\Administrator\Desktop\helper.exe"
    
56. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
57. 
    
58. 2018/8/28 星期二 08:23:22    创建新进程 风险提示:未知    允许
    
59. 进程: c:\users\administrator\desktop\helper.exe
    
60. 目标: c:\windows\system32\cmd.exe
    
61. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\D02A.tmp\D02B.tmp\D02C.bat C:\Users\Administrator\Desktop\helper.exe"
    
62. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
63. 
    
64. 2018/8/28 星期二 08:23:24    创建新进程 风险提示:未知    允许
    
65. 进程: c:\users\administrator\desktop\helper.exe
    
66. 目标: c:\windows\system32\cmd.exe
    
67. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\E2DF.tmp\E2E0.tmp\E2E1.bat C:\Users\Administrator\Desktop\helper.exe"
    
68. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
69. 
    
70. 2018/8/28 星期二 08:23:29    创建新进程 风险提示:未知    允许
    
71. 进程: c:\users\administrator\desktop\helper.exe
    
72. 目标: c:\windows\system32\cmd.exe
    
73. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\E2EF.tmp\E2F0.tmp\E2F1.bat C:\Users\Administrator\Desktop\helper.exe"
    
74. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
75. 
    
76. 2018/8/28 星期二 08:23:32    创建新进程 风险提示:未知    允许
    
77. 进程: c:\users\administrator\desktop\helper.exe
    
78. 目标: c:\windows\system32\cmd.exe
    
79. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\F141.tmp\F151.tmp\F152.bat C:\Users\Administrator\Desktop\helper.exe"
    
80. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
81. 
    
82. 2018/8/28 星期二 08:23:35    创建新进程 风险提示:未知    允许
    
83. 进程: c:\users\administrator\desktop\helper.exe
    
84. 目标: c:\windows\system32\cmd.exe
    
85. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\F150.tmp\F161.tmp\F162.bat C:\Users\Administrator\Desktop\helper.exe"
    
86. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
87. 
    
88. 2018/8/28 星期二 08:23:42    创建新进程 风险提示:未知    允许
    
89. 进程: c:\users\administrator\desktop\helper.exe
    
90. 目标: c:\windows\system32\cmd.exe
    
91. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\FC0A.tmp\FC0B.tmp\FC0C.bat C:\Users\Administrator\Desktop\helper.exe"
    
92. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
93. 
    
94. 2018/8/28 星期二 08:23:45    创建新进程 风险提示:未知    允许
    
95. 进程: c:\users\administrator\desktop\helper.exe
    
96. 目标: c:\windows\system32\cmd.exe
    
97. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\FC1A.tmp\FC1B.tmp\FC1C.bat C:\Users\Administrator\Desktop\helper.exe"
    
98. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
99. 
    
100. 2018/8/28 星期二 08:23:49    修改其他进程的内存 风险提示:高风险    允许
     
101. 进程: c:\windows\system32\cmd.exe
     
102. 目标: c:\users\administrator\desktop\helper.exe
     
103. 规则: [应用程序]?:\windows\system32\cmd.exe
     
104. 
     
105. 2018/8/28 星期二 08:23:54    修改其他进程的内存 风险提示:高风险    阻止
     
106. 进程: c:\users\administrator\desktop\helper.exe
     
107. 目标: c:\windows\system32\cmd.exe
     
108. 规则: [应用程序]* -> [目标应用程序]c:\windows\*
     
109. 
     
110. 2018/8/28 星期二 08:23:57    创建新进程 风险提示:未知    允许
     
111. 进程: c:\users\administrator\desktop\helper.exe
     
112. 目标: c:\windows\system32\cmd.exe
     
113. 命令行: "C:\Windows\system32\cmd.exe" /c "C:\Users\Administrator\AppData\Local\Temp\2674.tmp\2675.tmp\2676.bat C:\Users\Administrator\Desktop\helper.exe"
     
114. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
     
115. 
     
116. 
     
117. 
     

复制代码

创建 修改 CMD
就是和CMD之间的互动。
好像没有什么。

Jirehlov1234

BD

ATD击杀（malicious behavior）
hrsword.exe
e637.bat
helper.exe

ziyerain2015

360 QVM 双击多了一堆\conhost.exe

Miostartos

触发了WD的“首次看到时阻止”
但是没识别出来

迷惘的执著

BE_HC

Norton扫描KILL
沙箱双击降权

vm001

2018-08-28 09:35:15     
恶意软件(HEUR/QVM18.1.796E.Malware.Gen)MD5:10f36fcd07d9ad3642c713e2a5f50b24已删除此文件，如果您发现误删，可从隔离区恢复此文件。        
c:\users\admin\desktop\hrsword\hrsword.exe

www-tekeze

火绒扫描miss，智量killed 。。。盗用火绒剑的图标。。

www-tekeze

双击后释放一个helper.exe，两者都会调用cmd，都是命令解释器，然后形成N多条进程，CPU不堪重负死机。
其它破坏行为未发现，正宗的Badjoke。。