測主防，調用信任程序作壞事

a256886572008

2011-08-25 22:43:30   C:\Documents and Settings\Roger\桌面\virus\PlugIn\PlugIn.exe   Sandboxed As   Partially Limited   

2011-08-25 22:44:02   C:\Program Files\Internet Explorer\IEXPLORE.EXE   Sandboxed As   Partially Limited   

2011-08-25 22:44:07   C:\WINDOWS\system32\notepad.exe   Sandboxed As   Partially Limited   

2011-08-25 22:44:25   C:\WINDOWS\system32\notepad.exe   Modify File   C:\Documents and Settings\Roger\Application Data\AppLan\AppLan.exe   

2011-08-25 22:44:25   C:\WINDOWS\system32\notepad.exe   Modify Key   HKUS\S-1-5-21-1935655697-436374069-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Run\AppLan   

訪問網路



這隻會調用 IE 和 notepad.exe 作壞事

主动防御

一层防御 360 卫士 木马

二层防御 NIS 2012 监控 解压发现威胁

SONAR 360主防 都没用上。。测不了主防。

hddu

2011-08-25 23:22:16    运行应用程序      操作:允许
进程路径:F:\virus\PlugIn\PlugIn.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-25 23:22:21    运行应用程序      操作:允许
进程路径:F:\virus\PlugIn\PlugIn.exe
文件路径:C:\WINDOWS\system32\notepad.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-25 23:22:23    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\notepad.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:AppLan
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-08-25 23:22:26    运行应用程序      操作:允许
进程路径:F:\virus\PlugIn\PlugIn.exe
文件路径:C:\WINDOWS\system32\notepad.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-25 23:22:58    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\notepad.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\AppLan\AppLan.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-25 23:23:29    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\Application Data\AppLan\AppLan.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-25 23:23:34    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\Application Data\AppLan\AppLan.exe
文件路径:C:\WINDOWS\system32\notepad.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-25 23:23:36    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\notepad.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:AppLan
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-08-25 23:23:39    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\Application Data\AppLan\AppLan.exe
文件路径:C:\WINDOWS\system32\notepad.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-25 23:24:18    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\notepad.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:AppLan
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

surenxx

金山下载就拦截了，呃，就不用主防了吧！

主动防御

surenxx 发表于 2011-8-25 23:24
金山下载就拦截了，呃，就不用主防了吧！

金山要是下载拦截不了，也就过了扫描且K+的技术也拦截不了什么，金山过了云扫描基本就不能防御了。

qzmxy2006

mse 扫描杀

郑伟用户

主动防御 发表于 2011-8-25 23:32
金山要是下载拦截不了，也就过了扫描且K+的技术也拦截不了什么，金山过了云扫描基本就不能防御了。

你错了，就算是金山K+没有拦截，也不是因为过了扫描引起来的

Love=卡巴+费尔

chihhua

留侯

过大蜘蛛，已上报