小米抢购工具专业版V3.3(已注册).exe----火眼

基本信息
文件名称：小米抢购工具专业版V3.3(已注册).exe
MD5：473b839f871cdfba2e210c15f43a0fc4
Sha-1：c1df12974b1444a3dedad1e9a80eb0a263e81ae2
文件大小：826KB
创建时间：2014-05-20 12:41:13
文件类型：EXE
PEID信息：Nothing found [Overlay] *

火眼点评
IE 代理服务器设置;搜索指定窗口;疑似捆绑多个文件，警惕流氓软件捆绑推广或病毒捆绑传播（需与正常安装包区分开）;设置文件属性;创建进程;创建互斥体;在其他进程中申请内存;检测是否存在指定注册表键

新毒霸点评

经新毒霸云安全中心分析，该文件存在病毒，请及时删除！

其他行为监控
行为描述：检测是否存在指定注册表键附加信息：HKEY_CURRENT_USER\Software\WinRAR SFX
行为描述：在其他进程中申请内存附加信息：%temp%\RarSFX0\Take_MiPhone.exe
行为描述：创建互斥体附加信息："C:?TEMP?RARSFX0?TAKE_MIPHONE.EXE""OleDfRoot00031E9A7""shell._ie_sessioncount"
行为描述：创建进程附加信息：%temp%\RarSFX0\Take_MiPhone.exe
行为描述：设置文件属性附加信息：> HIDE" >%temp%\RarSFX0\KINSTALLERS_66_109152.exe >> HIDE> SYSTEM" >%temp%\RarSFX0\KINSTALLERS_66_109152.exe >> SYSTEM> HIDE" >%temp%\RarSFX0\Take_MiPhone.exe >> HIDE> SYSTEM" >%temp%\RarSFX0\Take_MiPhone.exe >> SYSTEM> HIDE" >%temp%\RarSFX0\down_s_66_82591.exe >> HIDE> SYSTEM" >%temp%\RarSFX0\down_s_66_82591.exe >> SYSTEM> HIDE" >%temp%\RarSFX0\st.bat >> HIDE> SYSTEM" >%temp%\RarSFX0\st.bat >> SYSTEM> HIDE" >%temp%\RarSFX0\st.reg >> HIDE> SYSTEM" >%temp%\RarSFX0\st.reg >> SYSTEM> HIDE >> SYSTEM" >KINSTALLERS_66_109152.exe >> HIDE >> SYSTEM> HIDE >> SYSTEM" >Take_MiPhone.exe >> HIDE >> SYSTEM> HIDE >> SYSTEM" >down_s_66_82591.exe >> HIDE >> SYSTEM> HIDE >> SYSTEM" >st.bat >> HIDE >> SYSTEM> HIDE >> SYSTEM" >st.reg >> HIDE >> SYSTEM
行为描述：疑似捆绑多个文件，警惕流氓软件捆绑推广或病毒捆绑传播（需与正常安装包区分开）附加信息：take_miphone.exe
行为描述：搜索指定窗口附加信息：["ComboBox" , ""]["EDIT" , ""]
行为描述：IE 代理服务器设置附加信息：关闭IE代理服务

文件操作监控

操作	文件MD5	文件大小	文件路径
新增	8d84791f1a2b369ce1e35119589d2125	877	%temp%\RarSFX0\IE.lnk
新增	f9a6b71c24e7b745ef2c2da30a2d7f92	48128	%temp%\RarSFX0\Take_MiPhone.exe
新增	114453321be7cbe4b3c433d44d14f8ea	114	%temp%\RarSFX0\st.bat
新增	143f817034ae745c8225c424fa944f43	1105376	%temp%\RarSFX0\down_s_66_82591.exe
新增	f729d886356835c780a1ec4486f60576	59912	%temp%\RarSFX0\KINSTALLERS_66_1091...
新增	53d3e320dbecc0947d9d66abd1fc489f	801	%temp%\RarSFX0\st.reg
修改	无	0	%USERPROFILE%\ntuser.dat

进程操作监控
创建进程：%temp%\RarSFX0\Take_MiPhone.exe启动参数：无
创建进程：%temp%\RarSFX0\Take_MiPhone.exe启动参数："%temp%\RarSFX0\Take_MiPhone.exe"

新增
删除
修改

注册表监控

HKEY_CURRENT_USER\Software\WinRAR SFX[C%%temp] = [%temp%\RarSFX0]

网络监控
网络操作[HTTP Request]GET ref.so/359d2[Open URL][Open URL]ref.so

运行截图