light.exe

hx1997

2011-8-10 17:45:09        POSBCA.TMP.BAT        将应用程序移至 低限制组       
2011-8-10 17:45:09        LIGHT.EXE        已拒绝: Main_Run       
2011-8-10 17:45:06        LIGHT.EXE        已拒绝: 设置调试权限       
2011-8-10 17:45:02        LIGHT.EXE        将应用程序移至 低限制组       

hx1997

RTDS

wuyongliang

hx1997 发表于 2011-8-10 17:44
TF blocked

TF 跟有些游戏有冲突   ，让我卸载了  ，  

hx1997

wuyongliang 发表于 2011-8-10 17:48
TF 跟有些游戏有冲突   ，让我卸载了  ，

我只玩 Plants 和 Angry Birds 的
其他都不玩  木鸭梨

wuyongliang

hx1997 发表于 2011-8-10 17:49
我只玩 Plants 和 Angry Birds 的
其他都不玩  木鸭梨

汗    你厉害  被你打败了

hx1997

wuyongliang 发表于 2011-8-10 17:50
汗    你厉害  被你打败了

可以装在虚拟机里用呗

hx1997

分析报告

左手

2011-8-10 18:03:46    修改文件    允许
进程: d:\program files\时间同步\light.exe
目标: C:\Documents and Settings\炎炎\Application Data\B16D3991\B16D3991.EXE
规则: [应用程序组][Filter]program files -> [文件]c:\documents and settings\*\application data\*

2011-8-10 18:03:46    修改注册表值    阻止
进程: d:\program files\时间同步\light.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\B16D3991
值: C:\Documents and Settings\炎炎\Application Data\B16D3991\B16D3991.EXE
规则: [注册表组]Auto Starts -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2011-8-10 18:03:46    创建新进程    阻止
进程: d:\program files\时间同步\light.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c "E:\LOCALS~1\Temp\POS3.tmp.BAT"
规则: [应用程序组]Untrusted Process

hx1997

XP降权为基本用户未成功防御

经确认，有如下病毒尸体
C:\Documents and Settings\Administrator\Application Data\D6730977
C:\Documents and Settings\Administrator\Application Data\F2BAEE0E
C:\Documents and Settings\Administrator\Application Data\D6730977\D6730977.EXE
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\POS46.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\POS46.tmp.BAT

以及运行XT时提示有线程注入，综上更改结果，XP降权为基本用户未成功防御。

XP降权为 受限的 成功防御。

guobao13

kis2012 扫描没有发现，双击后，主防隔离了，不过要求重启，重启后没有异常