測主防，調用reg.exe

显示全部楼层 · 发表于 2011-9-24 11:24:09

hx1997 发表于 2011-9-24 11:22
运行出错，难道反虚拟机

好像是的，CIMA 也會出錯

显示全部楼层 · 发表于 2011-9-24 11:30:11

a256886572008 发表于 2011-9-24 11:24
好像是的，CIMA 也會出錯

好像需要.NET 2.0，难道这个原因？

显示全部楼层 · 发表于 2011-9-24 11:49:57

hx1997 发表于 2011-9-24 11:30
好像需要.NET 2.0，难道这个原因？

最近流行的病毒，.net framework 是必須裝的

显示全部楼层 · 发表于 2011-9-24 12:34:43

大蜘蛛clean，已上报！

显示全部楼层 · 发表于 2011-9-24 13:29:33

显示全部楼层 · 发表于 2011-9-24 13:59:25

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2011/9/24 ( 13:57:23 )
上次使用时间 2011/9/24 ( 13:57:23 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
360zip.exe

创建的文件:
setup.exe
____________________________
文件操作
文件: c:\users\simple fish\desktop\setup\setup.exe
已删除
事件: 正在运行进程: c:\users\simple fish\desktop\setup\setup.exe
已终止
____________________________
系统设置操作
事件: 进程启动 (Performed by c:\users\simple fish\desktop\setup\setup.exe, PID:9984)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2011-9-24 13:59:41

本帖最后由有凤来仪于 2011-9-24 14:05 编辑

为什么要禁运呢?

2011/9/24 13:57:24 创建新进程允许
进程: c:\program files\wrar350\wrar350sc_onegreen\winrar.exe
目标: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
命令行: "C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\setup.exe"
规则: [应用程序组]a040_★压缩软件>f007★ -> [子应用程序]c:\users\*\appdata\local\temp\*\*.exe

2011/9/24 13:57:40 创建新进程允许
进程: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
目标: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
命令行: C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\setup.exe
规则: [应用程序]??\?* -> [子应用程序]a085 -> [应用程序]c:\users\*\appdata\local\temp\*

2011/9/24 13:57:51 创建新进程允许
进程: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序]* -> [子应用程序]*.exe

2011/9/24 13:57:56 创建新进程允许
进程: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\setup.exe" /t REG_SZ /d "C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\s
规则: [应用程序]* -> [子应用程序]*.exe

2011/9/24 13:57:56 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: REG  ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\reg.exe

2011/9/24 13:57:56 修改注册表值阻止
进程: c:\windows\system32\reg.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DoNotAllowExceptions
值: 0x00000000(0)
规则: [注册表组]r005_阻止_记录日志 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*

2011/9/24 13:58:00 创建新进程允许
进程: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序]* -> [子应用程序]*.exe

2011/9/24 13:58:00 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: REG  ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\setup.exe" /t REG_SZ /d "C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\setup.e
规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\reg.exe

2011/9/24 13:58:00 修改注册表值阻止
进程: c:\windows\system32\reg.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\setup.exe
值: C:\Users\pydn\AppData\Local\Temp\Rar$EX00.891\setup.exe:*:Enabled:Windows Messanger
规则: [注册表组]r005_阻止_记录日志 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*

2011/9/24 13:58:02 创建新进程允许
进程: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "C:\Users\pydn\AppData\Local\Temp\1" /t REG_SZ /d "C:\Users\pydn\AppData\Local\Temp\1:*:Enabled:Windows Messanger" /f
规则: [应用程序]* -> [子应用程序]*.exe

2011/9/24 13:58:02 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: REG  ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\reg.exe

2011/9/24 13:58:02 修改注册表值阻止
进程: c:\windows\system32\reg.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DoNotAllowExceptions
值: 0x00000000(0)
规则: [注册表组]r005_阻止_记录日志 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*

2011/9/24 13:58:10 安装全局消息钩子阻止
进程: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
目标: c:\users\pydn\appdata\local\temp\rar$ex00.891\setup.exe
钩子类型: WH_KEYBOARD_LL规则: [应用程序组]a085 -> [应用程序]c:\users\*\appdata\local\temp\* -> [钩子模块]c:\users\*\appdata\local\temp\*

2011/9/24 13:58:10 创建新进程允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: REG  ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "C:\Users\pydn\AppData\Local\Temp\1" /t REG_SZ /d "C:\Users\pydn\AppData\Local\Temp\1:*:Enabled:Windows Messanger" /f
规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\reg.exe

2011/9/24 13:58:10 修改注册表值阻止
进程: c:\windows\system32\reg.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Users\pydn\AppData\Local\Temp\1
值: C:\Users\pydn\AppData\Local\Temp\1:*:Enabled:Windows Messanger
规则: [注册表组]r005_阻止_记录日志 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*

显示全部楼层 · 发表于 2011-9-24 18:39:41

本帖最后由左手于 2011-9-24 18:59 编辑

2011-09-24 18:35:45 创建新进程允许
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: c:\documents and settings\administrator\桌面\setup.exe
命令行: "C:\Documents and Settings\Administrator\桌面\setup.exe"
规则: [应用程序组]【Filter】Block Read -> [应用程序]* -> [子应用程序]*\桌面\*

2011-09-24 18:35:55 修改文件允许
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: C:\Documents and Settings\Administrator\桌面\setup.exe
规则: [应用程序]* -> [文件组][Anti.Trojan]Self-Exe

2011-09-24 18:36:06 创建新进程阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序组]Untrusted Process

2011-09-24 18:36:06 创建新进程阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序组]Untrusted Process

2011-09-24 18:36:06 访问网络阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: TCP [本机 : 1834] -> [0.0.0.0 : 0]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-09-24 18:36:06 安装全局消息钩子阻止
进程: c:\documents and settings\administrator\桌面\setup.exe
目标: c:\documents and settings\administrator\桌面\setup.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序组]②Risk Warning -> [应用程序]* -> [钩子模块]?:\documents and settings\*

---

2011-09-24 18:57:04 创建新进程允许
进程: c:\program files\winrar\winrar.exe
目标: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX71.840\setup.exe"
规则: [应用程序组][4]All Applications Local_本地组 -> [应用程序]c:\program files\winrar\winrar.exe -> [子应用程序]*\temp\rar$ex*\*.exe

2011-09-24 18:57:04 创建新进程允许
进程: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
目标: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
命令行: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX71.840\setup.exe
规则: [应用程序]*\temp\* -> [子应用程序].\*.exe

2011-09-24 18:57:24 创建文件允许
进程: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\1
规则: [应用程序]*\temp\* -> [文件]*\local settings\temp\*

2011-09-24 18:57:26 设置文件隐藏属性阻止
进程: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\1
规则: [应用程序]*\temp\* -> [文件]*\local settings\temp\*

2011-09-24 18:57:26 创建新进程阻止
进程: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序组]Untrusted Process

2011-09-24 18:57:26 创建新进程阻止
进程: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
规则: [应用程序组]Untrusted Process

2011-09-24 18:57:26 访问网络阻止
进程: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
目标: TCP [本机 : 1939] -> [0.0.0.0 : 0]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-09-24 18:57:37 安装全局消息钩子阻止并结束进程
进程: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
目标: c:\documents and settings\administrator\local settings\temp\rar$ex71.840\setup.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序]*\temp\* -> [钩子模块]?:\*\local*\temp\*

[病毒样本] 測主防，調用reg.exe

本帖子中包含更多资源