Locky GHFbfsalku65.exe

左手

[mw_shl_code=css,true]2017-9-2 22:16:31    创建新进程 危险等级:未知    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\wscript.exe
命令行: "C:\WINDOWS\system32\WScript.exe" "C:\Documents and Settings\Administrator\桌面\I_715573~1.vbs"
规则: [应用程序]c:\windows\explorer.exe -> [子应用程序]→a002_《不受信任组》_潜在不受欢迎的木马病毒 -> [应用程序]*\wscript.exe

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
值: 150.176.182.31;80:80
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:31    修改注册表值 危险等级:敏感    阻止
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
值: *.local
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:39    访问网络    允许
进程: c:\documents and settings\administrator\桌面\ghfbfsalku65.exe
目标: TCP [本机 : 1489] ->  [91.219.29.46 : 80 (http)]
规则: [应用程序]*.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-9-2 22:16:49    读文件 危险等级:低    允许
进程: c:\windows\system32\wscript.exe
目标: C:\Documents and Settings\Administrator\桌面\I_715573~1.vbs
规则: [应用程序]c:\windows\system32\?script.exe -> [文件]*; *.vbs

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
值: 150.176.182.31;80:80
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:16:49    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
值: *.local
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:17:07    访问网络    允许
进程: c:\windows\system32\wscript.exe
目标: UDP [本机 : 1724] ->  [127.0.0.1 : 1724]
规则: [应用程序]c:\windows\system32\?script.exe -> [网络组]n0所有允许或阻止

2017-9-2 22:17:07    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:17:07    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
值: 150.176.182.31;80:80
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-9-2 22:17:07    修改注册表值 危险等级:敏感    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
值: *.local
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

[/mw_shl_code]