又一个隐藏文件的病毒！

左手

请虚拟机运行
没有全局的不要试了

XMonster

2011-4-14 17:23:02    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: D:
规则: [文件组]【隐藏】本地磁盘 -> [文件]d:\*

2011-4-14 17:23:02    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: E:
规则: [文件组]【隐藏】本地磁盘 -> [文件]e:\*

2011-4-14 17:23:02    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: F:
规则: [文件组]【隐藏】本地磁盘 -> [文件]f:\*

2011-4-14 17:23:02    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hidden*

2011-4-14 17:23:03    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: D:
规则: [文件组]【隐藏】本地磁盘 -> [文件]d:\*

2011-4-14 17:23:03    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: E:
规则: [文件组]【隐藏】本地磁盘 -> [文件]e:\*

2011-4-14 17:23:11    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hidden*

2011-4-14 17:23:12    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: C:\windows\nasm.exe
规则: [文件组]【只读】系统磁盘 -> [文件]c:\*

2011-4-14 17:23:20    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hidden*

2011-4-14 17:23:38    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\hide\hide.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced; *Hidden*

saga3721

嗯，红伞报CFI的一般都挺厉害

左手

回复 2楼 dm34343667 的帖子

呵。这招好。和我运行一样。
2011-4-14 17:27:54    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: D:
规则: [文件组]【隐藏】本地磁盘 -> [文件]d:\*
2011-4-14 17:27:54    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: E:
规则: [文件组]【隐藏】本地磁盘 -> [文件]e:\*
2011-4-14 17:27:54    读文件夹    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: F:
规则: [文件组]【隐藏】本地磁盘 -> [文件]f:\*
2011-4-14 17:27:54    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: C:\windows\system32\javasc.exe
规则: [文件组][S]最后的防线 -> [文件]c:\windows\system32\*
2011-4-14 17:27:54    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: C:\windows\system32\javasc.exe
规则: [文件组][S]最后的防线 -> [文件]c:\windows\system32\*
2011-4-14 17:27:54    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: C:\windows\system32\javasc.exe
规则: [文件组][S]最后的防线 -> [文件]c:\windows\system32\*
2011-4-14 17:27:54    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: C:\windows\avb.exe
规则: [文件组][S]最后的防线 -> [文件]c:\windows
2011-4-14 17:27:54    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: C:\windows\avb.exe
规则: [文件组][S]最后的防线 -> [文件]c:\windows
2011-4-14 17:27:54    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\hide.exe
目标: C:\windows\avb.exe
规则: [文件组][S]最后的防线 -> [文件]c:\windows
===
我是说如果这个是带毒并且在PF下。那就不妙了。桌面上MD的规则基本是全局阻止。除了读以外。

594157544

2011/4/14 17:30:40        HTTP 过滤器        文件        http://bbs.kafan.cn/forum-attach ... Y2fDUwNDIwNg==.html        可能是 Win32/Agent.HMKEOK 特洛伊木马 的变种        连接中断 - 已隔离        CSIOSI-PC\CSIOSI        通过应用程序访问 web 时检测到威胁: D:\Program Files\SogouExplorer\sogouexplorer.exe.

XMonster

左手 发表于 2011-4-14 17:30
回复 2楼 dm34343667 的帖子

呵。这招好。和我运行一样。

交叉规则不错

很灵活 3Q规则全局也太。。

qq541471559

mcafee kill

左手

回复 6楼 dm34343667 的帖子

所以我采用通用和交叉规则的组合体。一部分看3Q的规则的全局。我觉这样的规则已经很强大了。
呵呵。
自己后来再小更新一下，用的也很舒服。。

瓜皮猫

eset  kill
C:\Users\微亿毫\Desktop\hide.rar > RAR > hide.exe - 可能是 Win32/Agent.HMKEOK 特洛伊木马 的变种

hj5abc

文件夹病毒

mse入库