手動 HIPS 害怕的病毒，又來了

留侯

大蜘蛛：
contacts.exe - infected with Trojan.PWS.SpySweep.52

XMonster

穿破  瑞星主防。。

liulangzhecgr

2011-8-13 16:33:01    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\contacts\contacts.exe
命令行: "E:\Downloads\contacts\contacts.exe"
规则: [应用程序]*

2011-8-13 16:33:10    创建文件夹    允许
进程: e:\downloads\contacts\contacts.exe
目标: C:\Romano.Bin
规则: [文件]*

2011-8-13 16:33:38    修改其他进程的内存    允许
进程: e:\downloads\contacts\contacts.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-8-13 16:33:49    创建文件    允许
进程: c:\windows\explorer.exe
目标: C:\Romano.Bin\9A0B33B1514.exe
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2011-8-13 16:34:28    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\romano.bin\9a0b33b1514.exe
命令行: "C:\Romano.Bin\9A0B33B1514.exe"
规则: [应用程序]*

2011-8-13 16:34:38    创建文件    允许
进程: c:\romano.bin\9a0b33b1514.exe
目标: C:\Romano.Bin\4A8A7776CD8ECF2
规则: [文件]*

2011-8-13 16:34:39    修改其他进程的内存    允许
进程: c:\romano.bin\9a0b33b1514.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-8-13 16:34:54    修改其他进程的内存    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序]c:\windows\explorer.exe

2011-8-13 16:35:10    修改其他进程的内存    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\lsass.exe
规则: [应用程序]c:\windows\explorer.exe

2011-8-13 16:35:11    修改其他进程的内存    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\lsass.exe
规则: [应用程序]c:\windows\explorer.exe

2011-8-13 16:35:25    访问网络    允许
进程: c:\windows\system32\winlogon.exe
目标: TCP [本机 : 2442] ->  [92.241.162.53 : 5222]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-8-13 16:35:38    创建注册表项    允许
进程: c:\windows\system32\winlogon.exe
目标: HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft Windows
规则: [注册表]*

2011-8-13 16:35:44    修改其他进程的内存    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序]c:\windows\explorer.exe

2011-8-13 16:36:46    修改其他进程的内存    阻止
进程: c:\windows\explorer.exe
目标: c:\program files\iobit\advanced systemcare 4\ascservice.exe
规则: [应用程序]c:\windows\explorer.exe

wuyongliang

jayavira 发表于 2011-8-13 15:30
IDP拦截

IDP拦截 我就不试AVG了

麦兜响当当

360主防miss，提示攻击360卫士

hddu

修改其他进程内存，特别是修改正在运行的进程内存，阻止了，基本没戏了。

2011-08-13 16:47:53    修改其它进程内存      操作:阻止
进程路径:F:\virus\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\winlogon.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\winlogon.exe


2011-08-13 16:47:54    修改其它进程内存      操作:阻止
进程路径:F:\virus\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\lsass.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\lsass.exe


2011-08-13 16:47:54    修改其它进程内存      操作:阻止
进程路径:F:\virus\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:47:55    修改其它进程内存      操作:阻止
进程路径:F:\virus\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:47:55    修改其它进程内存      操作:阻止
进程路径:F:\virus\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:47:56    修改其它进程内存      操作:阻止
进程路径:F:\virus\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\spoolsv.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\spoolsv.exe


2011-08-13 16:47:57    修改其它进程内存      操作:阻止
进程路径:F:\virus\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\ctfmon.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\ctfmon.exe


2011-08-13 16:48:00    创建文件      操作:允许
进程路径:C:\Program Files\**有线宽带登陆\JMCATVLogin.exe
文件路径:C:\Romano.Bin\9A0B33B1C7D.exe
触发规则:所有程序规则->全局设置->?:\*.exe


2011-08-13 16:48:00    运行应用程序      操作:允许
进程路径:C:\Program Files\**有线宽带登陆\JMCATVLogin.exe
文件路径:C:\Romano.Bin\9A0B33B1C7D.exe
触发规则:应用程序规则->自动创建规则->?:\*


2011-08-13 16:48:02    运行应用程序      操作:允许
进程路径:C:\Romano.Bin\9A0B33B1C7D.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*


2011-08-13 16:48:06    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:4Y3Y0C3A8WVC3XYGPXOGNGUDBXUQUGU
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2011-08-13 16:48:06    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\winlogon.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\winlogon.exe


2011-08-13 16:48:06    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\winlogon.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\winlogon.exe


2011-08-13 16:48:07    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\lsass.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\lsass.exe


2011-08-13 16:48:07    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\lsass.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\lsass.exe


2011-08-13 16:48:08    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:48:08    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:48:09    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:48:09    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:48:10    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:48:10    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\svchost.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\svchost.exe


2011-08-13 16:48:11    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\spoolsv.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\spoolsv.exe


2011-08-13 16:48:11    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\spoolsv.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\spoolsv.exe


2011-08-13 16:48:13    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\ctfmon.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\ctfmon.exe


2011-08-13 16:48:13    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\JJJ9.exe
目标进程:C:\WINDOWS\system32\ctfmon.exe
触发规则:所有程序规则->系统进程设置->%windir%\system32\ctfmon.exe

AVAST1

沙盘中，毒霸被干掉了

blue_仰望

to avira

schumi小粉

MP 无压力

ppy0606

2011-8-13 20:40:37    创建文件夹    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: C:\Romano.Bin
规则: [应用程序组]cx★(禁) -> [文件]?:\

2011-8-13 20:40:37    修改其他进程的内存    阻止并结束进程
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\explorer.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\*