Album_de_fotos.exe

619875192

to卡巴

文件信息
文件名称：C:\Documents and Settings\Administrator\桌面\Album_de_fotos\Album_de_fotos.exe
文件大小：
205 Kb
内部名称：
无内部名称
文件签名：
无文件签名信息
文件描述：
经鉴定是一个木马
文件MD5：
2fc3f4b553219033fe959f84c5edaf21

星晨

BitDefender
Album_de_fotos.rar=>Album_de_fotos.exe Trojan.Generic.KD.363105

saga3721

红伞杀“TR/Dldr.Delphi.Gen [trojan]”

sanhu35

未入组，陌生权限。

2011-9-23 21:55:04    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
命令行: "C:\Documents and Settings\sanhu35\桌面\Album_de_fotos\Album_de_fotos.exe"
规则: [应用程序]c:\windows\explorer.exe

2011-9-23 21:55:07    修改文件    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-23 21:55:09    读文件夹    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: D:
规则: [文件组]隐藏磁盘 -> [文件]d:\*

2011-9-23 21:55:09    创建文件    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: C:\windows\Winetwork.dll
规则: [文件组]只读磁盘 -> [文件]c:\*

2011-9-23 21:55:09    修改注册表值    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Msn
值: regsvr32 /s C:\windows\Winetwork.dll
规则: [注册表组]自动运行 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*
---------------------------

入测试组行为

2011-9-23 21:56:37    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
命令行: "C:\Documents and Settings\sanhu35\桌面\Album_de_fotos\Album_de_fotos.exe"
规则: [应用程序]c:\windows\explorer.exe

2011-9-23 21:56:40    修改文件    允许
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2011-9-23 21:56:42    修改注册表值    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\sanhu35\Application Data
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-9-23 21:56:46    修改注册表值    允许
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_CURRENT_USER\Software\SogouInput.user\Used
值: 0x4e7c901a(1316786202)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-9-23 21:56:51    访问网络    允许
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: UDP [本机 : 3956] ->  [127.0.0.1 : 3956]
规则: [应用程序组]『询问』病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-9-23 21:56:53    修改文件    允许
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2011-9-23 21:56:56    修改注册表值    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-9-23 21:56:59    修改注册表值    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy
值: 0x00000001(1)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-9-23 21:57:02    修改注册表值    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2011-9-23 21:57:07    创建文件    允许
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: C:\windows\Winetwork.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]系统高危文件

2011-9-23 21:57:16    修改注册表值    允许
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
值:
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

将regsvr32 /s C:\windows\Winetwork.dl添加为自启动项，系统启动后 调用regsvr32.exe 注册Winetwork.dl  
2011-9-23 21:57:38    修改注册表值    阻止
进程: c:\documents and settings\sanhu35\桌面\album_de_fotos\album_de_fotos.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Msn
值: regsvr32 /s C:\windows\Winetwork.dll
规则: [应用程序组]『询问』病毒测试 -> [注册表组]自动运行 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

访问网络被金山网盾防火墙云拦截