Purchase order.exe

swizzer

左手 发表于 2017-8-26 13:32
2017-8-26 13:32:43    创建文件 危险等级:低    阻止并结束进程
进程: c:\documents and settings\admini ...

你这样未免太严格了吧2017/8/2 星期六 15:45:24    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\aqrtarea\virus\purchase order\purchase order.exe
命令行: "D:\AQrtArea\virus\Purchase order\Purchase order.exe"
规则: [应用程序]c:\windows\explorer.exe -> [子应用程序]『询问』病毒测试 -> [应用程序]*\virus\*

2017/8/26 星期六 15:45:34    创建文件    阻止
进程: d:\aqrtarea\virus\purchase order\purchase order.exe
目标: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\win32.vbe
规则: [应用程序组]『询问』病毒测试 -> [文件组]自动运行程序所在位置

2017/8/26 星期六 15:45:44    创建新进程    允许
进程: d:\aqrtarea\virus\purchase order\purchase order.exe
目标: d:\aqrtarea\virus\purchase order\purchase order.exe
命令行: "D:\AQrtArea\virus\Purchase order\Purchase order.exe"
规则: [应用程序组]『询问』病毒测试

2017/8/26 星期六 15:45:51    修改注册表值    允许
进程: d:\aqrtarea\virus\purchase order\purchase order.exe
目标: HKEY_CURRENT_USER\Software\WinRAR\HWID
值: 7b 36 30 34 37 35 38 42 46 2d 30 34 30 43 2d 34 39 35 32 2d 42 32 31 36 2d 46 43 44 38 30 42 32 35 39 33 44 46 7d
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2017/8/26 星期六 15:45:56    修改文件    阻止
进程: d:\aqrtarea\virus\purchase order\purchase order.exe
目标: \Device\NamedPipe\samr
规则: [应用程序组]『询问』病毒测试 -> [文件组]命令管道 -> [文件]\device\namedpipe\*

2017/8/26 星期六 15:46:04    创建文件    允许
进程: d:\aqrtarea\virus\purchase order\purchase order.exe
目标: C:\Users\Administrator\AppData\Local\Temp\21525017.bat
规则: [应用程序组]『询问』病毒测试 -> [文件组]Temp缓存 -> [文件]*\temp\*


2017/8/26 星期六 15:46:29    创建新进程    阻止
进程: d:\aqrtarea\virus\purchase order\purchase order.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\windows\system32\cmd.exe /c ""C:\Users\Administrator\AppData\Local\Temp\21525017.bat"       "D:\AQrtArea\virus\Purchase order\Purchase order.exe"   "
规则: [应用程序组]『询问』病毒测试 -> [子应用程序]『禁运』黑名单

ziyerain2015

温馨小屋

zst470396853

QQ

zst470396853

swizzer 发表于 2017-8-26 15:56
你这样未免太严格了吧2017/8/2 星期六 15:45:24    创建新进程    允许
进程: c:\windows\explorer.exe
...

卡巴拦截下载

左手

swizzer 发表于 2017-8-26 15:56
你这样未免太严格了吧2017/8/2 星期六 15:45:24    创建新进程    允许
进程: c:\windows\explorer.exe
...

2017/8/26 星期六 21:09:49    创建文件 危险等级:低    阻止
进程: c:\users\administrator\desktop\purchase order.exe
目标: C:\Users\Administrator\AppData\Roaming\win32.exe
规则: [应用程序]?:\*\*\*\* -> [文件]c:\users\administrator\*

2017/8/26 星期六 21:09:54    修改注册表值 危险等级:敏感    阻止
进程: c:\users\administrator\desktop\purchase order.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\Content\CachePrefix
值:
规则: [注册表组]《保护》_重要注册表项 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*






2017/8/26 星期六 21:11:11    创建新进程 危险等级:未知    允许
进程: c:\users\administrator\desktop\purchase order.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\Windows\system32\cmd.exe /c ""C:\Users\ADMINI~1\AppData\Local\Temp\442886.bat"       "C:\Users\Administrator\Desktop\Purchase order.exe"   "
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe

2017/8/26 星期六 21:11:11    创建文件 危险等级:低    允许
进程: d:\program files\fscapture_8.5_chs_v3\fscapture.exe
目标: C:\Users\Administrator\Desktop\20170826211105.jpg
规则: [应用程序]?:\program files\*\*.exe -> [文件组]《询问》f060_桌面

2017/8/26 星期六 21:11:17    删除文件 危险等级:敏感    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Users\Administrator\Desktop\Purchase order.exe
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\windows\system32\cmd.exe -> [文件组]《询问》f060_桌面

ivan221417

看看，学习一个

valice

管家右键miss，解压后kill

swizzer

左手 发表于 2017-8-26 21:14
2017/8/26 星期六 21:09:49    创建文件 危险等级:低    阻止
进程: c:%users\administrator\desktop\pu ...

对的！