hxxp://tompedurante.com/d.php?f=18&e=6j

qzmxy2006

mse miss
https://www.microsoft.com/securi ... 2b04e5a13d0&n=1
上报

恋亿晓

to avast!

guobao13

卡巴右键高启发扫描没反应

hddu

有凤来仪 发表于 2011-8-28 17:22
规则是不是被过了？请看18楼。

允许加载，重启后有点小问题，手动修复。

看你日志，svchost.exe有问题？为何结束svchost.exe进程？没有出现系统重启倒计时？

2011/8/28 16:39:34    修改注册表值    阻止并结束进程
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
值: C:\Windows\system32\userinit.exe,,C:\Users\pydn1\AppData\Local\fmecfscr\nsvopvlf.exe
规则: [注册表组]r010_行为防御 -> [注册表]*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon; Userinit

有凤来仪

hddu 发表于 2011-8-28 17:49
允许加载，重启后有点小问题，手动修复。

看你日志，svchost.exe有问题？为何结束svchost.exe进程？没 ...

svchost.exe会有几个同时运行的，只有结束最重要的两个才会出现系统重启。

saga3721

OP倒是拦截了启动svchost

saga3721

然后拦截临时文件内生成的可执行程序驱动加载
此时红伞杀“TR/Rootkit.Gen [trojan]”

wjcharles

源网址nis2011 ips拦截，卡饭下载样本双击后无异常，电脑重启后sonar杀衍生物

类别：入侵防护
日期和时间,风险,活动,状态,推荐的操作,类别,默认操作,采取的操作,IPS 警报名称,攻击电脑,攻击者网址,目标地址,源地址,通信说明
2011/8/28 16:40,高,阻止了 86.55.210.104 的入侵企图,已阻止,不需要操作,,不需要操作,不需要操作,Web Attack: Blackhole Toolkit Activity 3,"86.55.210.104, 80",tompedurante.com/d.php?f=18&e=6j,"210.32.., 60933",86.55.210.104,"TCP, www-http"



完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间:
2011/8/28 ( 16:44:26 )
上次使用时间:
2011/8/28 ( 16:44:26 )
启动项:
是
已启动:
是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________
来源
下载自  URL 不可用

源文件:
svchost.exe
创建的文件:
tsqqtujc.exe
____________________________
文件操作
文件: c:\users\wjch\appdata\local\lmyejral\tsqqtujc.exe
已删除
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-21-846252794-870395303-4126440618-1000\Software\Microsoft\Windows\CurrentVersion\Run->TsqQtujc
已删除
____________________________
系统设置操作
事件: 进程启动 (Performed by c:\users\wjch\appdata\local\lmyejral\tsqqtujc.exe, PID:3332)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________




完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间:
2011/8/28 ( 16:44:26 )
上次使用时间:
2011/8/28 ( 16:44:26 )
启动项:
否
已启动:
是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________
来源
下载自  URL 不可用

源文件:
svchost.exe
创建的文件:
tsqqtujc.exe
____________________________
文件操作
文件: c:\users\wjch\appdata\roaming\microsoft\windows\start menu\programs\startup\tsqqtujc.exe
已删除
____________________________
系统设置操作
事件: 进程启动 (Performed by c:\users\wjch\appdata\roaming\microsoft\windows\start menu\programs\startup\tsqqtujc.exe, PID:3352)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

hj5abc

地址被avast!封杀

walkerman

此样本过360杀毒3.0版，小红伞引擎。