火眼

文件名称：banildcdladafe.exe

MD5：79e21c02337eb28146d3508b33256af4

文件大小：814KB

创建日期：2016-09-24 10:39:09

关键行为 完整报告

• 基本信息
• 火眼点评
• 其他行为
• 文件操作
• 进程操作
• 注册表
• 网络监控
• 运行截图

基本信息

• 文件名称：banildcdladafe.exe
• MD5：79e21c02337eb28146d3508b33256af4
• Sha-1：598b4c6645d9f63ca528c61867cc50f737d70260
• 文件大小：814KB
• 创建时间：2016-09-24 10:39:09
• 文件类型：RAR
• PEID信息：
• 文件注释：
• 公司描述：
• 文件描述：
• 文件版本：
• 版权所有：
• 合法商标：
• 原始文件名：
• 产品名称：
• 产品版本：
• 样本来源：

火眼点评

      IE 代理服务器设置;创建进程;创建互斥体;在其他进程中申请内存;拷贝自身到其他目录

其他行为监控

• 行为描述：创建互斥体
  附加信息：

  "1"

  "RPCSS_REGEVENT:{0002DF01-0000-0000-C000-000000000046}"

  "Shell.CMruPidlList"

  "_!SHMSFTHISTORY!_"

  "c:!documents and settings!administrator!local settings!history!history.ie5!mshist012013012320130124!"

  "shell._ie_sessioncount"

• 行为描述：在其他进程中申请内存
  附加信息：

  %ProgramFiles%\Internet Explorer\IEXPLORE.EXE

• 行为描述：拷贝自身到其他目录
  附加信息：

  %ProgramFiles%\banildcdladafe.exe

• 行为描述：创建进程
  附加信息：

  %ProgramFiles%\Internet Explorer\IEXPLORE.EXE

• 行为描述：IE 代理服务器设置
  附加信息：

  关闭IE代理服务

文件操作监控

操作	文件MD5	文件大小	文件路径
新增	8811f09336fd3bc77d5da65a24e2250c	53003	%temp%\\2.ico
新增	79e21c02337eb28146d3508b33256af4	833589	%ProgramFiles%\\banildcdladafe.exe
释放后删除	无	0	%temp%\nst1F.tmp\\System.dll
释放后删除	d41d8cd98f00b204e9800998ecf8427e	0	%temp%\\nst1F.tmp
释放后删除	d41d8cd98f00b204e9800998ecf8427e	0	%temp%\\nsd1D.tmp

进程操作监控

• 创建进程：http://114.55.153.119/banildcdladafe.exe/40.html
  启动参数：无
• 创建进程：无
  启动参数：无
• 创建进程：无
  启动参数：无
• 创建进程：无
  启动参数：无
• 创建进程：无
  启动参数：无
• 创建进程：无
  启动参数：inst_buychannel_34.exe
• 创建进程：无
  启动参数：kinst_168_183.exe
• 创建进程：无
  启动参数：Happy88_B001_131.exe
• 创建进程：无
  启动参数：AXUE_setup_1.0.0.0_2016.08.31.exe /un /mn /mchannel=200017
• 创建进程：无
  启动参数：tg1.exe /a /b=baaar /c=39e9d627d05d4273bc29a413aec7edd3
• 创建进程：无
  启动参数：kqgshell_u44016366.exe
• 创建进程：无
  启动参数：Installiku_external.exe iku_external_P,/S /G=N /SPK=N /P=BD_FXKJ24
• 创建进程：无
  启动参数：[e-mail]
• 创建进程：无
  启动参数：160wifi_Build33164[6081].exe /S
• 创建进程：无
  启动参数：lany_Y_907453_feitian.exe
• 创建进程：无
  启动参数：kuwo_jm634.exe
• 创建进程：%ProgramFiles%\Internet Explorer\iexplore.exe
  启动参数："%ProgramFiles%\Internet Explorer\iexplore.exe" -nohome
• 创建进程：无
  启动参数：V9.3._81529_20160429205807.exe
• 创建进程：无
  启动参数：lenovopcmanager_welfare5.lenovo.exe
• 创建进程：无
  启动参数：Browser_V5.6.12860.10_r_4396_(Build1605251856).exe
• 创建进程：无
  启动参数：rav3490022.exe
• 创建进程：无
  启动参数：Baidu_Setup_2.2.200.1470_ftn_1050123728.exe

• 新增
• 删除
• 修改

注册表监控

• HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2E...
• HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2E...
  [Count] = [0x00000001]
  [Type] = [0x00000004]
  [Time] = [\xdd\x07\x01\x00\x03...]
• HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FB5...
• HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FB5...
  [Type] = [0x00000004]
  [Time] = [\xdd\x07\x01\x00\x03...]
  [Count] = [0x00000001]

网络监控

• 网络操作
  [HTTP Request]GET 114.55.153.119/banildcdladafe.exe/40.html
  [HTTP Request]GET cd001.www./
  [HTTP Request]GET cd001.www./duba/install/2011/ever/kinst_168_183.exe
  [HTTP Request]GET cdn.37ux.com/lany_Y_907453_feitian.exe
  [HTTP Request]GET desktop.youku.com/ugc/Installiku_external.exe
  [HTTP Request]GET dl.360safe.com/ludashi/inst_buychannel_34.exe
  [HTTP Request]GET dl.461gb.com/AXUE_setup_1.0.0.0_2016.08.31.exe
  [HTTP Request]GET dl.koushuidang.net/tg/tg1.exe
  [HTTP Request]GET dl.static.iqiyi.com/hz/[e-mail]
  [HTTP Request]GET dlsw.br.baidu.com/
  [HTTP Request]GET down.kuwo.cn/mbox/kuwo_jm634.exe
  [HTTP Request]GET down2.uc.cn/
  [HTTP Request]GET jh.01lm.com/tg/Happy88_B001_131.exe
  [HTTP Request]GET misc.wcd.qq.com/app?packageName=pcqqbrowser&channelId=81529
  [HTTP Request]GET pv.sohu.com/cityjson
  [HTTP Request]GET res.maoha.com/soft/160wifi/160wifi_Build33164[6081].exe
  [Open URL]114.55.153.119
  [Open URL]cd001.www.
  [Open URL]cdn.37ux.com
  [Open URL]desktop.youku.com
  [Open URL]dl.360safe.com
  [Open URL]dl.461gb.com
  [Open URL]dl.koushuidang.net
  [Open URL]dl.static.iqiyi.com
  [Open URL]dlsw.br.baidu.com
  [Open URL]down.kuwo.cn
  [Open URL]down2.uc.cn
  [Open URL]download.feisu8.com
  [Open URL]f.i1236.com
  [Open URL]jh.01lm.com
  [Open URL]misc.wcd.qq.com
  [Open URL]pv.sohu.com
  [Open URL]res.maoha.com

运行截图

• 

名词提问    名词解释

镜像劫持 互斥体 远程注入、远程线程注入 提升权限 inline hook 函数入口代码 恢复函数入口代码 启动宿主进程

前往查看关键行为