发现一个很奇怪的病毒 自动化安装

cz88

http://pan.baidu.com/share/link? ... 306584&third=15

dreams521

曹亮亮

360杀毒，报为木马释放器

hddu

2013-04-23 12:18:12    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\d.exe
文件路径:C:\Program Files\baidu
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:18:14    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\d.exe
文件路径:C:\Program Files\baidu\bar
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*\uninstall.exe->%ProgramFiles%\*\*


2013-04-23 12:18:15    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\d.exe
文件路径:C:\Program Files\baidu
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:18:16    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\d.exe
文件路径:C:\Program Files\baidu\bar
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*\uninstall.exe->%ProgramFiles%\*\*


2013-04-23 12:18:18    修改注册表内容      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
注册表名称:Search Page
更改后:http://s.lxsea.com/?q=%s
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Main


2013-04-23 12:18:41    修改注册表内容      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
注册表名称:Search Page
更改后:http://s.lxsea.com/?q=%s
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Main


2013-04-23 12:18:41    运行应用程序      操作:允许
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\nssCE.tmp\nsCF.tmp
命令行:C:\WINDOWS\system32\wfpdisable.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*


2013-04-23 12:18:41    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\nssCE.tmp\nsCF.tmp
文件路径:C:\WINDOWS\system32\wfpdisable.exe
触发规则:应用程序规则->程序->?:\*


2013-04-23 12:18:42    创建远程线程      操作:阻止
进程路径:C:\WINDOWS\system32\wfpdisable.exe
目标进程:C:\WINDOWS\system32\winlogon.exe
触发规则:所有程序规则->*


2013-04-23 12:18:42    修改文件      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\dllcache
触发规则:应用程序规则->信任软件设置->%ProgramFiles%\WPS Office Professional\office6\*.exe->%windir%\*


2013-04-23 12:18:42    修改文件      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\dllcache\shdoclc.dll
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system32\dllcache\*.dll


2013-04-23 12:18:43    创建文件      操作:允许
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\shdoclc.dll_
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2013-04-23 12:18:43    删除文件      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\shdoclc.dll
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.dll


2013-04-23 12:18:43    修改文件      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\shdoclc.dll
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.dll


2013-04-23 12:18:43    删除文件      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\wfpdisable.exe
触发规则:所有程序规则->WINDOWS文件设置->%windir%\system32\*.exe


2013-04-23 12:18:45    运行应用程序      操作:允许
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
命令行:www.97wg.com
触发规则:应用程序规则->程序->?:\*


2013-04-23 12:18:48    删除文件      操作:允许
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\新版自动准备挂机器V3.4.exe
触发规则:应用程序规则->其它文件设置(三）->F:\*->F:\*.exe


2013-04-23 12:18:53    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:06    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:08    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC\KwMusic.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2013-04-23 12:19:09    运行应用程序      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\WINDOWS\system32\netsh.exe
命令行:firewall add allowedprogram "C:\Program Files\KWMUSIC\KwMusic.exe" 酷我音乐盒 ENABLE
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe


2013-04-23 12:19:12    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC\Encode.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2013-04-23 12:19:13    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC\recoEngine.exe
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*.exe


2013-04-23 12:19:15    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:16    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC\face
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*\uninstall.exe->%ProgramFiles%\*\*


2013-04-23 12:19:17    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:18    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC\face
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*\uninstall.exe->%ProgramFiles%\*\*


2013-04-23 12:19:19    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:20    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:21    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC\swf
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*\uninstall.exe->%ProgramFiles%\*\*


2013-04-23 12:19:23    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:24    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:25    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC\loading
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*\uninstall.exe->%ProgramFiles%\*\*


2013-04-23 12:19:27    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\mbox224.exe
文件路径:C:\Program Files\KWMUSIC
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-04-23 12:19:27    创建文件      操作:使用任务隔离区操作
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\酷我音乐盒.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\启动*\*.lnk


2013-04-23 12:19:27    修改文件      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\Drivers\etc
触发规则:所有程序规则->需要保护的文件->%WinDir%\system32\drivers\etc


2013-04-23 12:19:27    修改文件      操作:阻止
进程路径:F:\virus\病毒\穿越火线自动挂机刷分器V3.4进进6月2号\火线V3.4版自动准备挂机器.exe
文件路径:C:\WINDOWS\system32\Drivers\etc\hosts
触发规则:所有程序规则->需要保护的文件->%WinDir%\system32\drivers\etc\*

lifan88

貌似鬼影

lifan88

2013-04-23 12:18:42    创建远程线程      操作:阻止
进程路径:C:\WINDOWS\system32\wfpdisable.exe
目标进程:C:\WINDOWS\system32\winlogon.exe
触发规则:所有程序规则->*

这个你阻止干甚？

hddu

lifan88 发表于 2013-4-23 12:49
2013-04-23 12:18:42    创建远程线程      操作:阻止
进程路径:C:\WINDOWS\system32\wfpdisable.exe
目标 ...

1，俺胆小，俺怕死。

2，因为注入了winlogon.exe，winlogon.exe可能会干出令人意想不到的坏事。

3，俺是实机测试，你是非实机测试，为保系统安全俺只能阻止。

3801187

豹哥

蓝天二号

ESS

夜微凉