測主防，一個 downloader

显示全部楼层 · 发表于 2011-8-12 21:31:01

nis2011 sonar:

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间:
2011/8/12 ( 21:28:25 )
上次使用时间:
2011/8/12 ( 21:28:25 )
启动项:
是
已启动:
是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________
来源
下载自 URL 不可用

源文件:
winrar 3.93 官方简体中文注册版.exe
创建的文件:
winrar.exe
创建的文件:
e94e3126.exe
____________________________
文件操作
文件: e:\chrome downloads\e94e3126\e94e3126.exe
已删除
文件: c:\users\wangjy\appdata\roaming\microsoft\conhost.exe
已删除
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-21-4063175210-3718970569-1381544335-1001\Software\Microsoft\Windows\CurrentVersion\Run->conhost
已删除
注册表更改: HKEY_USERS\S-1-5-21-4063175210-3718970569-1381544335-1001\Software\Microsoft\Windows\CurrentVersion\Run->conhost
不需要操作
____________________________
网络操作
事件: 网络活动 (Performed by e:\chrome downloads\e94e3126\e94e3126.exe, PID:5680)
未采取操作
____________________________
系统设置操作
事件: PE 文件创建: c:\users\wangjy\appdata\roaming\microsoft\conhost.exe (Performed by e:\chrome downloads\e94e3126\e94e3126.exe, PID:5680)
未采取操作
事件: 进程启动 (Performed by e:\chrome downloads\e94e3126\e94e3126.exe, PID:5680)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2011-8-12 21:38:35

显示全部楼层 · 发表于 2011-8-13 13:51:58

schumi小粉发表于 2011-8-12 20:09
MP kills

高启发。。继续折腾

2011/8/13 13:50:57 创建文件阻止并结束进程
进程: d:\下载\e94e3126\e94e3126.exe
目标: C:\Users\dxm\AppData\Roaming\Microsoft\conhost.exe
规则: [文件组]f060_行为防御 -> [文件]c:\users\*\appdata\roaming\*; *.exe

显示全部楼层 · 发表于 2011-8-13 21:45:01

本帖最后由麦兜响当当于 2011-8-13 21:49 编辑

第一个包运行后360主防KILL ALL
QQ电脑管家同样

显示全部楼层 · 发表于 2011-8-13 22:12:11

2011-08-13 22:11:04 注册表保护(修改注册表内容) 操作:阻止
进程路径:E:\123\E94E3126\E94E3126.EXE
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings

显示全部楼层 · 发表于 2011-8-13 22:16:43

2011-08-13 22:15:10 创建文件操作:阻止
进程路径:E:\123\E94E3126dload\At1.exe
文件路径:C:\WINDOWS\Tasks\{810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:15:10 创建文件操作:阻止并结束进程
进程路径:E:\123\E94E3126dload\At1.exe
文件路径:C:\WINDOWS\Jrejaa.exe
触发规则:所有程序规则->110_保护系统exe_普通->%SystemRoot%\*.exe

显示全部楼层 · 发表于 2011-8-13 22:18:51

2011-08-13 22:16:35 创建注册表值    操作:阻止
进程路径:E:\123\E94E3126dload\At2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:8DDYX0ZBPZ
触发规则:所有程序规则->015_注意x->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2011-08-13 22:16:39 创建注册表值    操作:阻止
进程路径:E:\123\E94E3126dload\At2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\
注册表名称:1601
触发规则:所有程序规则->010_行为防御->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2011-08-13 22:16:43 创建文件    操作:阻止
进程路径:E:\123\E94E3126dload\At2.exe
文件路径:C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:16:51 修改注册表内容    操作:阻止
进程路径:E:\123\E94E3126dload\At2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
触发规则:应用程序规则->080_联网x->*.exe->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections

2011-08-13 22:16:54 修改注册表内容    操作:阻止
进程路径:E:\123\E94E3126dload\At2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
触发规则:应用程序规则->080_联网x->*.exe->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections

显示全部楼层 · 发表于 2011-8-13 22:22:45

2011-08-13 22:19:24 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpm.exe
文件路径:C:\WINDOWS\system32\sshnas21.dll
触发规则:所有程序规则->120_系统驱动_普通->%SystemRoot%\system32\*

2011-08-13 22:19:25 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpn.exe
文件路径:C:\WINDOWS\Tasks\{810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:28 删除文件    操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:E:\123\E94E3126dload\B82.exe
触发规则:应用程序规则->120_系统目录程序->%SystemRoot%\**->e:\*.*

2011-08-13 22:19:32 创建注册表值    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\SSHNAS
注册表名称:[Key]
触发规则:应用程序规则->030_信任x->%SystemRoot%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\*

2011-08-13 22:19:32 运行应用程序    操作:阻止并结束进程
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpm.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\\sshnas21.dll,GetHandle
触发规则:所有程序规则->065_行为防御x->*\rundll32.exe

2011-08-13 22:19:33 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpn.exe
文件路径:C:\WINDOWS\Tasks\{810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:35 创建注册表值    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:8DDYX0ZBPZ
触发规则:所有程序规则->015_注意x->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2011-08-13 22:19:37 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpn.exe
文件路径:C:\WINDOWS\Tasks\{810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:38 创建注册表值    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\
注册表名称:1601
触发规则:所有程序规则->010_行为防御->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2011-08-13 22:19:40 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpn.exe
文件路径:C:\WINDOWS\Tasks\{810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:42 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpn.exe
文件路径:C:\WINDOWS\Tasks\{810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:42 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
文件路径:C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:43 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpn.exe
文件路径:C:\WINDOWS\Tasks\{810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:44 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
文件路径:C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:44 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
文件路径:C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:48 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
文件路径:C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:49 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
文件路径:C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:50 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
文件路径:C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
触发规则:所有程序规则->065_计划任务_x->%SystemRoot%\Tasks\*.job

2011-08-13 22:19:51 修改注册表内容    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
触发规则:应用程序规则->080_联网x->*.exe->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections

2011-08-13 22:19:52 修改注册表内容    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Jpo.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
注册表名称:SavedLegacySettings
触发规则:应用程序规则->080_联网x->*.exe->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections

显示全部楼层 · 发表于 2011-8-13 22:23:53

2011-08-13 22:22:51 创建文件操作:阻止并结束进程
进程路径:E:\123\E94E3126dload\csrss.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\csrss.exe
触发规则:所有程序规则->040_行为防御x->*\csrss.exe

显示全部楼层 · 发表于 2011-8-13 22:24:37

2011-08-13 22:23:35 创建文件操作:阻止并结束进程
进程路径:E:\123\E94E3126dload\dwm.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\dwm.exe
触发规则:所有程序规则->190_Documents and Settingsx->%systemdrive%\Documents and Settings\*\Application Data\*.exe

[病毒样本] 測主防，一個 downloader

本帖子中包含更多资源

本帖子中包含更多资源

评分