WIRE.exe

萧剑

wuyongliang

AVG  IDP  KILL

a445441

微点扫描KILL

XMonster

lniwn 发表于 2011-8-16 07:48
昨天手贱，实机双击样本，escan防火墙提示了，我禁止联网，不过本地还是运行了，害的我手动卸载他的驱动的时 ...

2011/8/17 16:11:27    创建文件夹    允许
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Roaming\Voigun
规则: [应用程序]* -> [文件组]潜在威胁区域

2011/8/17 16:11:29    创建文件    允许
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Roaming\Voigun\zuge.exe
规则: [应用程序]* -> [文件组]AppData目录(可执行程序)

2011/8/17 16:11:30    创建文件夹    允许
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Roaming\Ixutba
规则: [应用程序]* -> [文件组]潜在威胁区域

2011/8/17 16:11:32    修改文件夹权限    阻止
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Roaming\Ixutba
规则: [应用程序]* -> [文件组]潜在威胁区域

2011/8/17 16:11:34    创建文件    允许
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Roaming\Ixutba\irmu.nuq
规则: [应用程序]* -> [文件组]潜在威胁区域

2011/8/17 16:11:37    修改文件    允许
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Roaming\Voigun\zuge.exe
规则: [应用程序]* -> [文件组]AppData目录(可执行程序)

2011/8/17 16:11:39    修改文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\Windows\AppCompat\Programs\RecentFileCache.bcf
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件组]潜在威胁区域

2011/8/17 16:11:41    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: c:\windows\system32\dwm.exe
规则: [应用程序]* -> [目标应用程序]SystemRoot目录 -> [应用程序]c:\windows\*

2011/8/17 16:11:43    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: c:\windows\system32\dwm.exe
规则: [应用程序]* -> [目标应用程序]SystemRoot目录 -> [应用程序]c:\windows\*

2011/8/17 16:11:44    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: c:\windows\system32\taskhost.exe
规则: [应用程序]* -> [目标应用程序]SystemRoot目录 -> [应用程序]c:\windows\system32\taskhost.exe

2011/8/17 16:11:45    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: c:\windows\system32\taskhost.exe
规则: [应用程序]* -> [目标应用程序]SystemRoot目录 -> [应用程序]c:\windows\system32\taskhost.exe

2011/8/17 16:11:46    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: c:\windows\explorer.exe
规则: [应用程序]* -> [目标应用程序]SystemRoot目录 -> [应用程序]c:\windows\*

2011/8/17 16:11:47    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: c:\windows\explorer.exe
规则: [应用程序]* -> [目标应用程序]SystemRoot目录 -> [应用程序]c:\windows\*

2011/8/17 16:11:48    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\shadow defender\defenderdaemon.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:49    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\shadow defender\defenderdaemon.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:50    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\chromeplus\chrome.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:50    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\chromeplus\chrome.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:51    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\chromeplus\chrome.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:51    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\chromeplus\chrome.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:52    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\chromeplus\chrome.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:52    修改其他进程的内存    阻止
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\chromeplus\chrome.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:54    修改其他进程的内存    阻止并结束进程
进程: c:\users\dxm\appdata\roaming\voigun\zuge.exe
目标: d:\program files\chromeplus\chrome.exe
规则: [应用程序]* -> [目标应用程序]所有程序

2011/8/17 16:11:58    创建文件    允许
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Local\Temp\tmp682a73d5.bat
规则: [应用程序]* -> [文件组]临时目录(可执行程序)

2011/8/17 16:11:59    修改文件    允许
进程: d:\下载\wire\wire.exe
目标: C:\Users\dxm\AppData\Local\Temp\tmp682a73d5.bat
规则: [应用程序]* -> [文件组]临时目录(可执行程序)

XMonster

a256886572008 发表于 2011-8-15 22:05
直接實機雙擊，測試K+的攔截能力吧！

看看到底是不是真的雲主防

saga3721

红伞杀“TR/PSW.Zbot.3557 [trojan]”