[情報] 可疑的 DLL

[yaurtusn ()]

 電腦在 7月2日 cerber 發作過後沒做處置

 9月5日 又發作一次

 今天似乎又要啟動不明程序

 我終止了可疑的 Rundll32 的動作 (啟動 另一份臨時檔案 dll 檔)
 並且也複製一份保留下來

 (那動作是 Rundll32.exe ooxx.tmp.dll start)

 有人要這份 ooxx.tmp.dll 拿去研究的嗎?

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 112.104.142.20
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1473317747.A.D8C.html
→ jh961202: 很明顯就是勒索吧，這是觸發的老方法了
→ jh961202: 要不要丟VirusTotal看看各家防毒的反應？
  分析的結果:

  SHA256: 7b478c453a89ccca6b53dd27658688cfad3a18bb8d7d68a61d8bb75788b03f49
  檔案名稱: rad417FA.tmp.dll
  偵測率: 8 / 56
  分析日期: 2016-09-08 16:53:51 UTC+8

  Avira(no cloud)         TR/Crypt.ZPACK.jjo
  Baidu                   Win32.Trojan.WisdomEyes.151026.9950.9999
  Bkav                    HW32.Packed.15D0
  DrWeb                   Trojan.Encoder.5047
  Invincea                ddos.win32.nitol.a
  McAfee                  Trojan-FJOK!2414F01A8D06
  Qihoo-360               HEUR/QVM40.1.0000.Malware.Gen
  TrendMicro-HouseCall    Ransom_HPCRYPMIC.SM1

  其他的未偵測到
推 mathrew: 非常標準的勒索病毒
  不是很清楚,應該是吧?
推 zu00405479: 可以壓起來站內信給我測試嗎？先謝謝了
  信件已寄出 [e-mail]
  信件被退回 請另給信箱以寄送
推 likeus: 我想測試別家防毒 想請原PO提供
  信件已寄出 [e-mail]
  信件被退回 請另給信箱以寄送
推 glennchen: 我也想測 方便站內嗎？
  信件已寄出 寄送 Gmail 已收
推 aglet: Qihoo  360不就是衛士360
  對,衛士 360 是 Qihoo 公司的產品之一
→ Klauhal: ooxx還不作檔名偽裝...
→ jh961202: 只有8家抓到，這...
推 mavewei: 請寄給我一份，謝謝
  信件已寄出 [e-mail]
  信件被退回 請另給信箱以寄送

  trumpete  要求檔案已寄送
推 trumpete: 似乎dll 被擋了 只收到 html 與 txt 檔 ^^"
 一封郵件標題是 " cerber 可疑dll 壓縮檔 " 那附件是 dll 壓縮檔,沒有退回訊息!!
 第二封郵件是" 另附中毒後的明顯檔案 " 附件只有 html 與 txt 檔
 第三封郵件是"  一個vbs文件檔的內容 " 直接貼上 vbs檔案內容,無附件
※ 編輯: yaurtusn (112.104.142.20), 09/14/2016 11:35:48