手動 HIPS 害怕的病毒，又來了

nazisoft

只要阻止修改内存就没戏了

ppy0606

换个组



2011-8-13 20:42:24    创建文件夹    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: C:\Romano.Bin
规则: [应用程序组]●研磨 -> [文件组]文件保护 -> [文件]?:\

2011-8-13 20:42:24    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:26    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:26    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\system32\lsass.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:27    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:27    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:28    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:28    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:29    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: f:\program files\彩影软件\arp防火墙单机版\antiarp.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:29    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\system32\ctfmon.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:30    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:30    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: f:\program files\tencent\qq\bin\qq.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:31    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:31    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:32    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:32    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:33    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:33    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:34    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:34    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\application data\google\chrome\application\chrome.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:35    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: f:\program files\ttplayer\ttplayer.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:35    修改其他进程的内存    阻止
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: f:\program files\tencent\qq\bin\qqexternal.exe
规则: [应用程序组]●研磨

2011-8-13 20:42:36    修改文件    允许
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: C:\Documents and Settings\9eyes.PPY\Local Settings\Temp\Romano.Bin\9A0B33B12B4.exe
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\contacts\contacts.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-8-13 20:42:36    创建新进程    允许
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: c:\documents and settings\9eyes.ppy\local settings\temp\romano.bin\9a0b33b12b4.exe
命令行: "C:\DOCUME~1\9eyes.PPY\LOCALS~1\Temp\Romano.Bin\9A0B33B12B4.exe"
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\contacts\contacts.exe -> [子应用程序]c:\documents and settings\9eyes.ppy\local settings\temp\*.exe

2011-8-13 20:42:36    删除文件    允许
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: D:\我的文档\virus test\contacts\contacts.exe
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\contacts\contacts.exe -> [文件]d:\*

2011-8-13 20:42:37    创建文件夹    阻止
进程: c:\documents and settings\9eyes.ppy\local settings\temp\romano.bin\9a0b33b12b4.exe
目标: C:\Romano.Bin
规则: [应用程序组]cx★(禁) -> [文件]?:\

2011-8-13 20:42:37    修改其他进程的内存    阻止并结束进程
进程: c:\documents and settings\9eyes.ppy\local settings\temp\romano.bin\9a0b33b12b4.exe
目标: c:\windows\explorer.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\*

2011-8-13 20:42:37    删除文件    允许
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: D:\我的文档\virus test\contacts\contacts.exe
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\contacts\contacts.exe -> [文件]d:\*

2011-8-13 20:42:38    删除文件    允许
进程: d:\我的文档\virus test\contacts\contacts.exe
目标: D:\我的文档\virus test\contacts\contacts.exe
规则: [应用程序组]●研磨 -> [应用程序]d:\我的文档\virus test\contacts\contacts.exe -> [文件]d:\*

polluxkyo

趋势居然没有反应

3801187

下载后BD2012右键扫描删除

haol

AVG IDP 攔截

hx1997

a256886572008 发表于 2011-8-13 15:37
實機雙擊運行，才能知道 IDP 是否防的住

虚拟机，IDP弹框


重启前打开XT提示有线程注入，重启后恢复正常，无病毒启动项。

----------------------------

好吧，我测IDP只是测有没有弹框，不是测有没有真正拦截成功的，因为实在太麻烦，所以在沙盘里测和实机测是差不多的，如果要测有没有真正拦截成功那我承认沙盘会造成干扰，这个我觉得不用太纠结IDP是否真的拦截成功吧。那个winlocker要不是IDP回滚错误的话，实机运行也可以成功拦截的。

yjwfdc

2011-08-13 22:06:07        应用程序保护(修改其它进程内存)     操作:阻止并结束进程
进程路径:E:\123\contacts\contacts.exe
目标进程:C:\WINDOWS\system32\winlogon.exe

jone_jys

迈克菲企业版无视，规则拦截。。。

yhgogogo

谢谢楼主分享！折腾中

一晴空

gdata B引擎kill