測主防，順便看小影片

显示全部楼层 · 发表于 2011-8-19 12:30:08

本帖最后由 liulangzhecgr 于 2011-8-19 12:34 编辑

sanhu35 发表于 2011-8-19 12:14
看着是wmv 实际是exe

2011-8-19 12:11:27 创建新进程阻止

日志 ?! 倒写... ...vmw.exe

怪啊!我复制粘贴 ... ...正常!

显示全部楼层 · 发表于 2011-8-19 12:32:19

sanhu35 发表于 2011-8-19 12:14
看着是wmv 实际是exe

2011-8-19 12:11:27 创建新进程阻止

连MD的日志也跟着一起反转了.....

显示全部楼层 · 发表于 2011-8-19 12:41:49

本帖最后由 liulangzhecgr 于 2011-8-19 12:43 编辑

2011-8-19 12:40:28 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\videos\videos‮vmw.exe
命令行: "E:\downloads\videos\videos‮vmw.exe"
规则: [应用程序]*

2011-8-19 12:40:35 创建文件允许
进程: e:\downloads\videos\videos‮vmw.exe
目标: C:\Documents and Settings\Administrator\1387924342.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-8-19 12:40:50 创建新进程允许
进程: e:\downloads\videos\videos‮vmw.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c REG ADD HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v 1387924342 /t REG_SZ /d "%userprofile%\1387924342.exe" /f
规则: [应用程序]*

2011-8-19 12:40:53 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: REG ADD HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v 1387924342 /t REG_SZ /d "C:\Documents and Settings\Administrator\1387924342.exe" /f
规则: [应用程序]*

2011-8-19 12:41:00 修改注册表值阻止
进程: c:\windows\system32\reg.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\1387924342
值: C:\Documents and Settings\Administrator\1387924342.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2011-8-19 12:41:02 修改文件允许
进程: e:\downloads\videos\videos‮vmw.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-8-19 12:41:04 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:05 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:07 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:08 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:09 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:10 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:11 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:12 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [注册表]*

2011-8-19 12:41:12 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表]*

2011-8-19 12:41:15 修改注册表值允许
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表]*

2011-8-19 12:41:16 修改文件允许
进程: e:\downloads\videos\videos‮vmw.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-8-19 12:41:17 修改文件允许
进程: e:\downloads\videos\videos‮vmw.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-8-19 12:41:20 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3d148f3d-02ae-11e0-a349-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-8-19 12:41:22 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{f51f49a6-5672-11e0-a072-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-8-19 12:41:24 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3d148f3f-02ae-11e0-a349-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-8-19 12:41:26 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3d148f3e-02ae-11e0-a349-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2011-8-19 12:41:30 修改注册表值阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\shutdown.exe
值: Windows Remote Shutdown Tool
规则: [注册表]*

2011-8-19 12:41:35 创建新进程阻止
进程: e:\downloads\videos\videos‮vmw.exe
目标: c:\windows\system32\shutdown.exe
命令行: "C:\WINDOWS\system32\shutdown.exe" /r /f /t 3
规则: [应用程序]*

------------------------------------------------------------------------

原来如此

显示全部楼层 · 发表于 2011-8-19 12:52:16

http://bbs.kafan.cn/thread-1057804-1-1.html

好像和这个帖子的，类似。

显示全部楼层 · 发表于 2011-8-19 13:00:03

本帖最后由 liulangzhecgr 于 2011-8-19 13:00 编辑

看看现在怎么样!---正常?!

显示全部楼层 · 发表于 2011-8-19 13:15:13

liulangzhecgr 发表于 2011-8-19 12:41
2011-8-19 12:40:28 创建新进程允许
进程: c:\windows\explorer.exe
目标: e:\downloads\videos\v ...

MD 不支持 unicode字符所以不显示

显示全部楼层 · 发表于 2011-8-19 13:20:28

IK kill

显示全部楼层 · 发表于 2011-8-19 13:27:09

卡巴 KSN杀：UDS:DangerousObject.Multi.Generic
COMODO杀：TrojWare.Win32.Trojan.Shutdown.~A@1

显示全部楼层 · 发表于 2011-8-19 13:41:04

本帖最后由 bluelaser 于 2011-8-19 13:41 编辑

COMODO云（我没有安装COMODO的AV）和D+主防均有反应。

显示全部楼层 · 发表于 2011-8-19 20:41:59

sanhu35 发表于 2011-8-19 12:14
看着是wmv 实际是exe

2011-8-19 12:11:27 创建新进程阻止

使用了反转技术。将wmv.exe倒过来

[病毒样本] 測主防，順便看小影片

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块