一个360卫士既拦截又不拦截的样本

郑伟用户

样本地址http://bbs.duba.net/thread-22601571-1-1.html
视频地址http://d.1tpan.com/tp1412298719
【昨天的测试有点不规范，今天重新上传，解压到桌面的一个文件夹还是不拦截】
我反正被这个惊人的拦截和不拦截搞糊涂了，谁告诉我一下到底是不是病毒

2011-12-13 01:48:20    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
命令行: "C:\Documents and Settings\Administrator\桌面\双击打开\实物细节.exe"
规则: [应用程序]*

2011-12-13 01:48:31    创建文件    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: C:\Program Files\StormDate\StormUpdate.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2011-12-13 01:48:34    创建文件    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: C:\Program Files\StormDate\MicroExamin.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-12-13 01:48:39    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MicroExamin
值: C:\Program Files\StormDate\MicroExamin.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2011-12-13 01:48:52    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
命令行: "C:\WINDOWS\system32\verifier.exe"
规则: [应用程序]*

2011-12-13 01:49:02    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:06    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:08    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:11    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:14    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:15    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:17    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:22    修改其他进程的线程    允许
进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe
规则: [应用程序]*

2011-12-13 01:49:27    访问网络    允许
进程: c:\windows\system32\verifier.exe
目标: TCP [本机 : 1135] ->  [98.126.131.187 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

jayavira

反沙盘，无法测试tf

蓝天二号

这个我好像发过~~

wuyongliang

金山管家 都没报   

夜ㄝ殇

编辑。。

dalianjhc1986

to eset检测吧 个人感觉不像

有你丶我幸福

下来看看

wjcharles

NIS2012  miss
上报官方论坛

liulangzhecgr

下载的不是exe文件...?!不过，录像看完...

郑伟用户

liulangzhecgr 发表于 2011-12-13 12:44
下载的不是exe文件...?!不过，录像看完...

进程: c:\documents and settings\administrator\桌面\双击打开\实物细节.exe
目标: c:\windows\system32\verifier.exe

现在就是这步我纠结，是利用这个联网，确实也联网了。还是样本不支持运行的bug引起这个程序来探测冲突，集体的不懂啊