新型Qism勒索病毒分析

rogersg

ESET Suspicious Object 云杀

rogersg

编辑掉

光墓啊

卡巴杀了

左手

1. 2020/7/10 星期五 22:46:12    加载动态链接库 风险提示:中等程度风险    允许
   
2. 进程: c:\users\administrator\desktop\system.exe
   
3. 目标: c:\windows\system32\dnsapi.dll
   
4. 规则: [应用程序]* -> [动态链接库]c:\windows\system32\dnsapi.dll
   
5. 
   
6. 2020/7/10 星期五 22:46:12    删除注册表值 风险提示:木马    阻止
   
7. 进程: c:\users\administrator\desktop\system.exe
   
8. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
   
9. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
   
10. 
    
11. 2020/7/10 星期五 22:46:12    创建注册表项 风险提示:未知    阻止
    
12. 进程: c:\users\administrator\desktop\system.exe
    
13. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
    
14. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
    
15. 
    
16. 2020/7/10 星期五 22:46:12    删除注册表值 风险提示:木马    阻止
    
17. 进程: c:\users\administrator\desktop\system.exe
    
18. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
    
19. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
    
20. 
    
21. 2020/7/10 星期五 22:46:12    创建注册表项 风险提示:未知    阻止
    
22. 进程: c:\users\administrator\desktop\system.exe
    
23. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
    
24. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
    
25. 
    
26. 2020/7/10 星期五 22:46:12    删除注册表值 风险提示:木马    阻止
    
27. 进程: c:\users\administrator\desktop\system.exe
    
28. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
    
29. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
    
30. 
    
31. 2020/7/10 星期五 22:46:12    创建注册表项 风险提示:未知    阻止
    
32. 进程: c:\users\administrator\desktop\system.exe
    
33. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
    
34. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
    
35. 
    
36. 2020/7/10 星期五 22:46:12    删除注册表值 风险提示:木马    阻止
    
37. 进程: c:\users\administrator\desktop\system.exe
    
38. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
    
39. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
    
40. 
    
41. 2020/7/10 星期五 22:46:12    创建注册表项 风险提示:未知    阻止
    
42. 进程: c:\users\administrator\desktop\system.exe
    
43. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\A5807E3AF3D13CD50543F07E06193B38CF11239A
    
44. 规则: [注册表组]《受保护的注册表项目》 -> [注册表]*\Microsoft\SystemCertificates*
    
45. 
    

复制代码

FD丶纸鸢

管家国际版  miss

Lawchake78

rogersg 发表于 2020-7-1 13:59
ESET Suspicious Object 云杀

我用的是EIS，为什么我的就不报，难道ESET的云针对不同的产品划分不同的优先级？

rogersg

Lawchake78 发表于 2020-7-11 12:41
我用的是EIS，为什么我的就不报，难道ESET的云针对不同的产品划分不同的优先级？

想多了，这个文件我都说了是云杀，没有入库的，ESET的云稳定性很垃圾的，经常会抽风

Lawchake78

不可能是云抽风啊，我家的网络连接ESET的云很稳定，更新也很流畅很迅速

Lawchake78

rogersg 发表于 2020-7-11 13:17
想多了，这个文件我都说了是云杀，没有入库的，ESET的云稳定性很垃圾的，经常会抽风

不可能是云抽风啊，我家的网络连接ESET的云很稳定，更新也很流畅很迅速

rogersg

Lawchake78 发表于 2020-7-11 13:32
不可能是云抽风啊，我家的网络连接ESET的云很稳定，更新也很流畅很迅速

又不是你说稳定就稳定的。。。样本区右键查看LiveGrid信誉显示有风险扫描却不杀的样本多了去了