FS区扫描专用

蓝核

只为测试这个帖子用的http://bbs.kafan.cn/thread-1393852-1-1.html 都是病毒~~
两个包密码都是infected。不过我已经记不得24号样本是不是被FS修复过了……

Palkia

清空，3个

Dust-;羅錠

Dr.Web killed 1x.

a-17.exe\data002\data001 - infected with Trojan.Rootkit.15792

To Dr.Web

蓝核

Palkia 发表于 2012-10-20 19:35
清空，3个

话说我不是很懂毒霸，这个是自己的引擎还是红伞的？

Dust-;羅錠

因为我要上学周末才有时间。
今天我生日哦。
http://bbs.kafan.cn/thread-1393697-1-1.html

悠柚

蓝核 发表于 2012-10-20 19:53
话说我不是很懂毒霸，这个是自己的引擎还是红伞的？

第一个红伞，其余金山云

hddu

2012-10-20 22:44:42    创建文件      操作:允许
进程路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\A-17.exe
文件路径:C:\WINDOWS\system\pp_data0
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-10-20 22:44:49    修改文件      操作:允许
进程路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\A-17.exe
文件路径:C:\WINDOWS\system\pp_data0
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-10-20 22:44:49    创建文件      操作:允许
进程路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\A-17.exe
文件路径:C:\WINDOWS\system\SvHp.sys
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-10-20 22:44:49    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\auek
注册表名称:[Key]
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-10-20 22:44:49    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\auek
注册表名称:Start
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-10-20 22:44:59    安装服务或者驱动      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system\SvHp.sys
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\*.sys


2012-10-20 22:45:00    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\auek
注册表名称:ImagePath
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-10-20 22:45:00    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\auek\Security
注册表名称:[Key]
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-10-20 22:45:00    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\auek\Enum
注册表名称:[Key]
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-10-20 22:45:02    加载驱动程序      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动路径:C:\WINDOWS\system\SvHp.sys
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->?:\*.sys


2012-10-20 22:45:02    修改文件      操作:允许
进程路径:System
文件路径:C:\WINDOWS\system\pp_005.dat
触发规则:应用程序规则->System设置->System->?:\*


2012-10-20 22:45:03    修改文件      操作:允许
进程路径:System
文件路径:C:\WINDOWS\system\pp_005.dat
触发规则:应用程序规则->System设置->System->?:\*


2012-10-20 22:45:04    修改文件      操作:允许
进程路径:System
文件路径:C:\WINDOWS\system\pp_005.dat
触发规则:应用程序规则->System设置->System->?:\*


2012-10-20 22:45:05    删除文件      操作:允许
进程路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\A-17.exe
文件路径:C:\WINDOWS\system\SvHp.sys
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-10-20 22:45:08    删除文件      操作:允许
进程路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\A-17.exe
文件路径:C:\WINDOWS\system\pp_data0
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-10-20 22:45:12    运行应用程序      操作:允许
进程路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\A-17.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c 13.bat
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2012-10-20 22:45:15    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\A-17.exe
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->?:\*


2012-10-20 22:45:16    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\10-2\10-2\神奇的病毒\神奇的病毒\13.bat
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->*\*.bat

tomochan