測主防，新版 0access

hx1997

saga3721 发表于 2011-9-23 00:04
那你是真的中招了，在虚拟机中？

不是... 为了测试XT我还原快照了。这是另一个测试，和DW没关系。

wjcharles

NIS012 sonar kill


完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2011/9/23 ( 2:11:37 )
上次使用时间 2011/9/23 ( 2:11:37 )
启动项目 否
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
winrar.exe

创建的文件:
readme.exe
____________________________
文件操作
受感染文件: c:\users\sshss\downloads\readme\readme.exe
已删除
____________________________
系统设置操作
事件: 进程启动 (Performed by c:\users\sshss\downloads\readme\readme.exe, PID:11120)
未采取操作
____________________________
文件指纹 - SHA:
0cae26a69748f0b50840e2d2a12ab17111ec56f8882f37b038eacb6e1f00b02b
____________________________
文件指纹 - MD5:
9261025b638fd14529d4347042ad6939
____________________________

a256886572008

TomBox 发表于 2011-9-22 23:40
怎么我的comodo pro版 最新病毒库 不杀呢。。灵异了

還沒入庫呢，雲端才會殺。

還有，不是 5.8，就不要測毒，會被穿破。

liulangzhecgr

2011-9-23 05:36:48    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\readme\readme.exe
命令行: "E:\downloads\readme\readme.exe"
规则: [应用程序]*

2011-9-23 05:37:47    创建新进程    允许
进程: e:\downloads\readme\readme.exe
目标: c:\windows\system32\svchost.exe
命令行: 0000003C*
规则: [应用程序]*

2011-9-23 05:37:49    修改其他进程的内存    允许
进程: e:\downloads\readme\readme.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序]*

2011-9-23 05:37:50    修改其他进程的线程    允许
进程: e:\downloads\readme\readme.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序]*

2011-9-23 05:37:56    删除文件    允许
进程: c:\windows\system32\svchost.exe
目标: E:\downloads\readme\readme.exe
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件]*

2011-9-23 05:37:57    删除文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\Documents and Settings\Administrator\wevtapi.dll
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件]*

2011-9-23 05:37:58    删除文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\Documents and Settings\Administrator\taskmgr.exe
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件]*

2011-9-23 05:38:09    修改注册表值    阻止
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{e70dd653-4ef5-19d8-cc24-a24fed4f3fca}\u
值: 0x000000a9(169)
规则: [注册表]*

2011-9-23 05:38:11    修改注册表值    阻止
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{e70dd653-4ef5-19d8-cc24-a24fed4f3fca}\cid
值: 7f 80 07 38 93 c7 16 53
规则: [注册表]*

2011-9-23 05:38:13    创建文件夹    允许
进程: c:\windows\system32\svchost.exe
目标: C:\WINDOWS\$NtUninstallKB43329$
规则: [文件]*

2011-9-23 05:38:15    创建文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\WINDOWS\$NtUninstallKB43329$\2546213460
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件]*

2011-9-23 05:38:17    底层磁盘写操作    允许
进程: c:\windows\system32\svchost.exe
目标: \Device\HarddiskVolume1
规则: [应用程序]c:\windows\system32\svchost.exe

2011-9-23 05:38:19    创建文件夹    允许
进程: c:\windows\system32\svchost.exe
目标: C:\WINDOWS\$NtUninstallKB43329$\653815878
规则: [文件]*

2011-9-23 05:38:22    创建文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\WINDOWS\$NtUninstallKB43329$\:SummaryInformation
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件]*

2011-9-23 05:38:23    底层磁盘写操作    允许
进程: c:\windows\system32\svchost.exe
目标: \Device\HarddiskVolume1
规则: [应用程序]c:\windows\system32\svchost.exe

2011-9-23 05:38:26    创建注册表项    允许
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\.ipsec
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-9-23 05:38:28    修改注册表值    允许
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\.ipsec\Type
值: 0x00000001(1)
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-9-23 05:38:31    修改注册表值    允许
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\.ipsec\Start
值: 0x00000003(3)
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-9-23 05:38:32    修改注册表值    允许
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\.ipsec\ImagePath
值: \?
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-9-23 05:38:34    修改其他进程的内存    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序]c:\windows\system32\svchost.exe

2011-9-23 05:38:37    修改其他进程的内存    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\winlogon.exe
规则: [应用程序]c:\windows\system32\svchost.exe

感染ipsec.sys文件：

留侯

大蜘蛛：
readme.exe infected with Trojan.DownLoader4.61242

倾枫锝渔♂

毒霸kill


很戏剧化的是  
搜狗把链接当AD处理了

wuyongliang

TomBox 发表于 2011-9-22 23:40
怎么我的comodo pro版 最新病毒库 不杀呢。。灵异了

云查杀 就是运行后 毛豆云杀 不是本地杀，

麦兜响当当

IE9下载保护KILL

liulangzhecgr

从前天还是昨天？！到现在，这个附件不能下载... 卡饭啊！

dayang1717

现在我只看误杀率