K+ 成功防御tdss

Palkia

此病毒被毒霸鉴定为tdss，用微点虽然提示拦截rootkit，但重启后不能进入系统~

毒霸K+断网测试成功拦截且重启可以进入系统~出现这两个提示框后故意等待数十秒再操作~

jayavira

ess kill

D:\下载文件夹\1.7z > 7ZIP > 1.exe - Win32/Kryptik.SUX 特洛伊木马 的变种

Mr.Tong

liulangzhecgr

毒霸诊断挺不错啊！

好像是tdss.tdl4 !

2011-9-17 15:48:03    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\1\1.exe
命令行: "E:\Downloads\1\1.exe"
规则: [应用程序]*

2011-9-17 15:48:08    创建文件    允许
进程: e:\downloads\1\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\28.tmp
规则: [文件]*

2011-9-17 15:48:15    创建文件    允许
进程: e:\downloads\1\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\29.tmp
规则: [文件]*

2011-9-17 15:48:27    创建注册表项    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print\Printers
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:48:29    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\System\Print\TypesSupported
值: 0x00000007(7)
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:48:30    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\System\TCPMon\TypesSupported
值: 0x00000007(7)
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:48:35    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\BeepEnabled
值: 0x00000000(0)
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:48:39    修改注册表值    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Print\Printers\DefaultSpoolDirectory
值: C:\WINDOWS\System32\spool\PRINTERS
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:48:43    创建注册表项    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Providers\1663309584
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:48:44    创建注册表项    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows NT\CurrentVersion\Devices
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:48:49    创建文件    阻止
进程: e:\downloads\1\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\setup2827201360.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-9-17 15:48:57    修改注册表项权限    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Devices
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:49:03    修改注册表项权限    阻止
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\PrinterPorts
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

2011-9-17 15:49:08    创建文件    阻止并结束进程
进程: e:\downloads\1\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\setup2827201360.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-9-17 15:49:13    删除注册表值    阻止并结束进程
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\Device
规则: [应用程序]c:\windows\system32\spoolsv.exe -> [注册表]*

saga3721

楼主把打印机驱动服务开着运行TDSS了吗？

619875192

卡巴        检测到威胁: Trojan.Win32.TDSS.idcd               

hx1997

IDP killed
但是重启后无法进入系统

Palkia

saga3721 发表于 2011-9-17 15:46
楼主把打印机驱动服务开着运行TDSS了吗？

打开了~

星空下的吻

楼主确定测试过吗?联网都不一定能够防御,断网根本就直接穿透,重启就BSOD

hx1997

OA 秒杀