soft.exe---(10/43)

njjsxy

kis
  Trojan-Downloader.Win32.VB.ahld

思齐鼠

这次终于杀了一个
·······················

wuweimin1984

avast 未发现威胁

saga3721

红伞杀“TR/Dldr.VB.ahld.6 [trojan]”

lanmao10000

过微点

121940966

gikouhaku

FS已经扫到

maomao110

saga3721 发表于 2011-6-8 22:25
红伞杀“TR/Dldr.VB.ahld.6 [trojan]”

就在等红伞呢

zhousulin5

2011-6-9 15:43:13    修改文件    阻止
进程: d:\download\soft\soft.exe
目标: D:\download\soft\soft.exe
规则: [应用程序组]本地磁盘分区 -> [文件组]其他可执行文件

2011-6-9 15:43:19    修改文件    允许
进程: d:\download\soft\soft.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]本地磁盘分区 -> [文件]\device\namedpipe\*

2011-6-9 15:43:22    修改文件    允许
进程: d:\download\soft\soft.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]本地磁盘分区 -> [文件]\device\namedpipe\*

2011-6-9 15:43:26    修改注册表值    允许
进程: d:\download\soft\soft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]本地磁盘分区 -> [注册表组]IE设置一般

2011-6-9 15:43:27    删除注册表值    阻止
进程: d:\download\soft\soft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [应用程序组]本地磁盘分区 -> [注册表组]IE设置重要

2011-6-9 15:43:27    删除注册表值    阻止
进程: d:\download\soft\soft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
规则: [应用程序组]本地磁盘分区 -> [注册表组]IE设置重要

2011-6-9 15:43:27    修改注册表值    阻止
进程: d:\download\soft\soft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
值: 46 00 00 00 8d 00 00 00 01 00 00 00 13 00 00 00 31 37 32 2e 31 37 2e 31 37 32 2e 31 38 39 3a 31 30 38 30 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
规则: [应用程序组]本地磁盘分区 -> [注册表组]网络设置

2011-6-9 15:43:27    删除注册表值    阻止
进程: d:\download\soft\soft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [应用程序组]本地磁盘分区 -> [注册表组]IE设置重要

2011-6-9 15:43:27    删除注册表值    阻止
进程: d:\download\soft\soft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
规则: [应用程序组]本地磁盘分区 -> [注册表组]IE设置重要

2011-6-9 15:43:27    修改注册表值    阻止
进程: d:\download\soft\soft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
值: 46 00 00 00 8d 00 00 00 01 00 00 00 13 00 00 00 31 37 32 2e 31 37 2e 31 37 32 2e 31 38 39 3a 31 30 38 30 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
规则: [应用程序组]本地磁盘分区 -> [注册表组]网络设置

2011-6-9 15:43:42    创建文件    允许
进程: d:\download\soft\soft.exe
目标: C:\Documents and Settings\cwb\Local Settings\Temporary Internet Files\Content.IE5\UPQBCZ2V\pi9136[1].exe
规则: [应用程序组]本地磁盘分区 -> [文件组]其他可执行文件

2011-6-9 15:43:46    创建文件    允许
进程: d:\download\soft\soft.exe
目标: C:\Documents and Settings\cwb\Local Settings\Temporary Internet Files\Content.IE5\UPQBCZ2V\feng9136[1].exe
规则: [应用程序组]本地磁盘分区 -> [文件组]其他可执行文件

2011-6-9 15:44:49    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\feng9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:49    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\feng9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:49    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\feng9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:49    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\feng9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:51    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:51    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:51    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:51    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:44:51    删除注册表值    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor\AutoRun
规则: [应用程序组]本地磁盘分区 -> [注册表组]自动运行程序所在位置

2011-6-9 15:44:53    创建新进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /C taskkill /f /im "Funshion.exe"
规则: [应用程序]* -> [子应用程序]脚本宿主重点控制 -> [应用程序]c:\windows\system32\cmd.exe

2011-6-9 15:44:53    创建新进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /C taskkill /f /im "FSPServer.exe"
规则: [应用程序]* -> [子应用程序]脚本宿主重点控制 -> [应用程序]c:\windows\system32\cmd.exe

2011-6-9 15:44:53    创建新进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /C taskkill /f /im "FunshionService.exe"
规则: [应用程序]* -> [子应用程序]脚本宿主重点控制 -> [应用程序]c:\windows\system32\cmd.exe

2011-6-9 15:44:53    创建新进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /C taskkill /f /im "Updater.exe"
规则: [应用程序]* -> [子应用程序]脚本宿主重点控制 -> [应用程序]c:\windows\system32\cmd.exe

2011-6-9 15:44:53    创建新进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /C taskkill /f /im "FunshionUpdate.exe"
规则: [应用程序]* -> [子应用程序]脚本宿主重点控制 -> [应用程序]c:\windows\system32\cmd.exe

2011-6-9 15:44:53    创建新进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /C taskkill /f /im "FunshionUpgrade.exe"
规则: [应用程序]* -> [子应用程序]脚本宿主重点控制 -> [应用程序]c:\windows\system32\cmd.exe

2011-6-9 15:44:55    删除注册表值    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Fun Player
规则: [应用程序组]本地磁盘分区 -> [注册表组]自动运行程序所在位置

2011-6-9 15:44:55    删除注册表值    阻止
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\FunPlayer
规则: [应用程序组]本地磁盘分区 -> [注册表组]自动运行程序所在位置

2011-6-9 15:45:28    创建文件    阻止并结束进程
进程: c:\documents and settings\cwb\local settings\temp\funshioninstall.exe
目标: C:\Program Files\Funshion Online\Funshion\CrashReport.exe
规则: [应用程序组]本地磁盘分区 -> [文件组]其他可执行文件

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\pi9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\pi9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\pi9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\pi9136.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\uusee_88cpa_setup_1011.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\uusee_88cpa_setup_1011.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\uusee_88cpa_setup_1011.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\uusee_88cpa_setup_1011.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-6-9 15:45:28    创建文件    阻止并结束进程
进程: c:\documents and settings\cwb\local settings\temp\uusee_88cpa_setup_1011.exe
目标: C:\WINDOWS\system32\nsis_loader.dll
规则: [应用程序组]本地磁盘分区 -> [文件组]系统执行文件

hj5abc

MSE入库
Trojan:Wn32/Bumat!rts