淘宝骗子发过来的病毒——转自病毒救援区

liulangzhecgr

2011-7-5 09:43:53    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\病毒\病毒\dingdan.exe
命令行: "E:\DownLoads\病毒\病毒\dingdan.exe"
规则: [应用程序]*

2011-7-5 09:43:56    创建文件    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: C:\WINDOWS\system32\strRand.ini
规则: [文件]*

2011-7-5 09:43:56    创建新进程    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c md "C:\Program Files\Microsofts.NET\MSNAxv\"
规则: [应用程序]*

2011-7-5 09:43:56    创建新进程    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c md "C:\Program Files\Microsofts.NET\MSNAxv..\"
规则: [应用程序]*

2011-7-5 09:45:10    创建新进程    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c copy "E:\DownLoads\病毒\病毒\dingdan.exe" "C:\Program Files\Microsofts.NET\MSNAxv..\MSN Axv.exe"
规则: [应用程序]*

2011-7-5 09:45:11    修改文件    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-7-5 09:45:11    修改文件    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-7-5 09:45:11    底层键盘操作    允许
进程: c:\windows\system32\conime.exe
规则: [应用程序]*

2011-7-5 09:45:11    修改注册表值    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{13b8f1f1-02c7-11e0-a7db-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-7-5 09:45:12    修改注册表值    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{71ef1d01-f858-11de-890d-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-7-5 09:45:12    修改注册表值    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{71ef1d00-f858-11de-890d-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-7-5 09:45:12    修改注册表值    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{13b8f1f2-02c7-11e0-a7db-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-7-5 09:45:12    创建文件    阻止
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: C:\Program Files\Microsofts.NET\MSNAxv\ActionAxv.lnk
规则: [文件]*; *.lnk

2011-7-5 09:45:12    创建新进程    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c copy "C:\WINDOWS\system32\wupdmgr.exe" "C:\Program Files\Microsofts.NET\MSNAxv\MSN Axv.exe"
规则: [应用程序]*

2011-7-5 09:45:29    创建新进程    允许
进程: e:\downloads\病毒\病毒\dingdan.exe
目标: c:\windows\explorer.exe
命令行: explorer file:///"C:/Program Files/Microsofts.NET/MSNAxv/ActionAxv.lnk"
规则: [应用程序]*

Hacker29cn

liulangzhecgr 发表于 2011-7-5 09:50
2011-7-5 09:43:53    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\病毒\病毒 ...

HIPS党，感谢测试！

xwhmm

kis

zhousulin5

2011-7-5 10:29:44    创建文件    阻止
进程: d:\download\病毒\病毒\dingdan.exe
目标: C:\WINDOWS\system32\strRand.ini
规则: [应用程序]?:\*\* -> [文件]c:\windows\system32

2011-7-5 10:29:56    创建新进程    允许
进程: d:\download\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c md "C:\Program Files\Microsofts.NET\MSNBir\"
规则: [应用程序]?:\*\* -> [子应用程序]c:\windows\system32\cmd.exe

2011-7-5 10:29:57    创建文件夹    允许

2011-7-5 10:30:16    创建新进程    允许
进程: d:\download\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c md "C:\Program Files\Microsofts.NET\MSNBir..\"
规则: [应用程序]?:\*\* -> [子应用程序]c:\windows\system32\cmd.exe

2011-7-5 10:30:25    创建新进程    允许
进程: d:\download\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c copy "D:\download\病毒\病毒\dingdan.exe" "C:\Program Files\Microsofts.NET\MSNBir..\MSN Bir.exe"
规则: [应用程序]?:\*\* -> [子应用程序]c:\windows\system32\cmd.exe


2011-7-5 10:30:57    创建新进程    允许
进程: d:\download\病毒\病毒\dingdan.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c copy "C:\WINDOWS\system32\wupdmgr.exe" "C:\Program Files\Microsofts.NET\MSNBir\MSN Bir.exe"
规则: [应用程序]?:\*\* -> [子应用程序]c:\windows\system32\cmd.exe

2011-7-5 10:31:21    创建新进程    阻止
进程: d:\download\病毒\病毒\dingdan.exe
目标: c:\windows\explorer.exe
命令行: explorer file:///"C:/Program Files/Microsofts.NET/MSNBir/ActionBir.lnk"
规则: [应用程序]?:\*\* -> [子应用程序]c:\windows\explorer.exe

2011-7-5 10:31:33    创建文件    允许


这个有意思的地方是在“我的电脑”中查看时，看到的 MSNBir.\MSN Bir.exe 是它复制到 MSNBir\ 并改名的那个系统文件，双击这个MSN Bir.exe时运行的也是那个改名的系统文件，若是上传分析，被上传的文件也是正常的系统文件。只有在双击它的那个快捷方式时运行的才是真正的病毒。从用户的角度看，病毒的文件“被隐藏”了，它利用的是特殊的带两个点的目录名，在“我的电脑”中看到的目录名只有一个点。到目前为止（仅指上面日志记录的步骤），病毒还没有把自己弄成自启动。

xyc5238207

微点主防1。2轻松搞定！！！

liulangzhecgr

zhousulin5 发表于 2011-7-5 10:46
2011-7-5 10:29:44    创建文件    阻止
进程: d:\download\病毒\病毒\dingdan.exe
目标: C:\WINDOWS\sys ...

你自己的规则?! 和我的默认规则显示的差不多!

zhousulin5

2011-7-5 11:03:38    创建新进程    允许
进程: c:\program files\microsofts.net\msnbir.\msn bir.exe
目标: c:\windows\system32\services.exe
命令行: C:\WINDOWS\system32\services.exe
规则: [应用程序]?:\*\* -> [子应用程序]?:\*\*

2011-7-5 11:03:38    修改其他进程的内存    阻止并结束进程
进程: c:\program files\microsofts.net\msnbir.\msn bir.exe
目标: c:\windows\system32\services.exe
规则: [应用程序]?:\*\* -> [目标应用程序]c:\windows\system32\*.exe

IOOOOI

最近怎么老见ACE的压缩包？

yeh.ly.are

360sd 解压前后均不报.  网盾报未知。   x64 2.0尝鲜版

jefffire

Hacker29cn 发表于 2011-7-5 09:59
HIPS党，感谢测试！

给个解压后的东东吧。我这里7z不能解压