測主防(先關閉下載保護，別雲鑑定，下載後實機雙擊測毒)

zhousulin5

liulangzhecgr 发表于 2011-8-5 17:51
全部阻止啊！

wscript的联网我是全部阻止，我认为正常情况它不应该有联网，安全至上，简单第一。

允許訪問網路吧

看来，关于wscript的规则得修正一下了，没有记录到它在%temp%下生成文件。
不过，总体来说，我的规则还是拦截住了那些玩意的小动作，桌面没有多余的东西出现，程序文件夹下产生了空文件夹，注册表项未被添加。快压的安装因为有正常的窗口，经允许后快压的文件夹以及文件全部被生成，但注册表项的添加和修改未被允许，特别是最后快压安装程序居然用at来计划它的自动更新，被秒了。

2011-8-5 18:05:08    访问网络    允许
进程: c:\windows\system32\wscript.exe
目标: UDP [本机 : 4648] ->  [127.0.0.1 : 4648]
规则: [应用程序组]脚本宿主重点控制 -> [应用程序]c:\windows\system32\wscript.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-8-5 18:05:08    访问网络    允许
进程: c:\windows\system32\wscript.exe
目标: TCP [本机 : 4649] ->  [61.187.98.191 : 5250]
规则: [应用程序组]脚本宿主重点控制 -> [应用程序]c:\windows\system32\wscript.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-8-5 18:05:24    创建新进程    允许
进程: c:\windows\system32\wscript.exe
目标: c:\documents and settings\cwb\local settings\temp\cocopark.exe
命令行: "C:\DOCUME~1\cwb\LOCALS~1\Temp\cocopark.exe"  /SILENT
规则: [应用程序]?:\*\* -> [子应用程序]?:\*\*

2011-8-5 18:05:24    创建文件夹    阻止
进程: c:\documents and settings\cwb\local settings\temp\cocopark.exe
目标: C:\Drivers
规则: [文件]?:\

（重复了很多次）



2011-8-5 18:05:32    创建新进程    阻止
进程: c:\windows\system32\wscript.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c C:\Drivers\run.bat
规则: [应用程序组]脚本宿主重点控制 -> [应用程序]c:\windows\system32\wscript.exe -> [子应用程序]c:\windows\system32\cmd.exe

2011-8-5 18:05:59    创建新进程    允许
进程: c:\windows\system32\wscript.exe
目标: c:\documents and settings\cwb\local settings\temp\kuping_s_8442.exe
命令行: "C:\DOCUME~1\cwb\LOCALS~1\Temp\Kuping_s_8442.exe"  /SILENT
规则: [应用程序]?:\*\* -> [子应用程序]?:\*\*

2011-8-5 18:05:59    访问COM接口    阻止
进程: c:\documents and settings\cwb\local settings\temp\kuping_s_8442.exe
目标: {8856F961-340A-11D0-A96B-00C04FD705A2} Shell.Explorer.2
文件路径: C:\WINDOWS\system32\ieframe.dll
规则: [应用程序]?:\*\* -> [COM接口]{8856F961-340A-11D0-A96B-00C04FD705A2}

2011-8-5 18:06:28    创建新进程    允许
进程: c:\windows\system32\wscript.exe
目标: c:\documents and settings\cwb\local settings\temp\kuaizip_setup.exe
命令行: "C:\DOCUME~1\cwb\LOCALS~1\Temp\kuaizip_setup.exe"  /s /id=10052
规则: [应用程序]?:\*\* -> [子应用程序]?:\*\*

Nocria

悲剧了，用Sandboxie打开居然漏沙了，弹出一堆cmd，装了不少“酷屏”一类的malware。
K+正在努力工作中。。。。

hx1997

humanlwj52 发表于 2011-8-5 18:11
悲剧了，用Sandboxie打开居然漏沙了，弹出一堆cmd，装了不少“酷屏”一类的malware。
K+正在努力工作中。。 ...

怎么可能漏沙？？能否说下具体情况？

zhousulin5

快压的动作真多

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\KuaiZip.kz\shell\open\command
值: C:\Program Files\快压\KuaiZip.exe "%1"
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.zip
值: KuaiZip.zip
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\KuaiZip.zip\shell\open\command
值: C:\Program Files\快压\KuaiZip.exe "%1"
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.cab
值: KuaiZip.cab
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\KuaiZip.cab\shell\open\command
值: C:\Program Files\快压\KuaiZip.exe "%1"
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.arj
值: KuaiZip.arj
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\KuaiZip.arj\shell\open\command
值: C:\Program Files\快压\KuaiZip.exe "%1"
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lzh
值: KuaiZip.lzh
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\KuaiZip.lzh\shell\open\command
值: C:\Program Files\快压\KuaiZip.exe "%1"
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\KuaiZip.gzip\shell\open\command
值: C:\Program Files\快压\KuaiZip.exe "%1"
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.tar
值: KuaiZip.tar
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\KuaiZip.tar\shell\open\command
值: C:\Program Files\快压\KuaiZip.exe "%1"
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要

2011-8-5 18:19:04    修改注册表值    阻止
进程: c:\program files\快压\kuaizip.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.wim
值: KuaiZip.wim
规则: [应用程序]?:\*\* -> [注册表组]系统设置重要


（这玩意添加的kuaizip.???实在太多了，多到超出了我的发贴限制，没办法，删了很久）

2011-8-5 18:19:20    创建新进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\kuaizip_setup.exe
目标: c:\windows\system32\regsvr32.exe
命令行: "C:\WINDOWS\system32\regsvr32.exe" "C:\Program Files\快压\KZipShell.dll" -s
规则: [应用程序]?:\*\* -> [子应用程序]?:\*\*

2011-8-5 18:19:21    创建新进程    阻止并结束进程
进程: c:\documents and settings\cwb\local settings\temp\kuaizip_setup.exe
目标: c:\windows\system32\at.exe
命令行: "C:\WINDOWS\system32\at.exe" 16:00  /interactive /every:M,T,W,Th,F,S,Su "C:\PROGRA~1\快压\Update.exe"
规则: [应用程序]?:\*\* -> [子应用程序]禁止的系统程序

主动防御

360卫士。点阻止仍然在桌面生存了一堆东西。添加了一个启动项。。

留侯

过大蜘蛛，已上报！

十送鸿钧

360WD 未知
实机不敢测

a445441

实机过微点  和360

小飞侠.net

又素流氓桌面图标病毒~~~哎！

Nocria

a445441 发表于 2011-8-5 20:25
实机过微点  和360

过微点主防了吗？