莫名奇妙的多出两只企鹅1A3A53

quansen83

有HIPS的兄弟上，

xxwpk007

父级进程：
   路径： C:\WINDOWS\explorer.exe
   PID: 1984
   信息： Windows Explorer (Microsoft Corporation)
子级进程：
   路径： G:\样本\样本\svchost.EXE
   命令行："G:\样本\样本\svchost.EXE"

进程：
   路径： G:\样本\样本\svchost.EXE
   PID: 284
注册表群组： Machine AutoRun
对象：
   注册表键： HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

微点卫士

这个说明程序改动了注册表是吧,我用不了来HIPS的,看不懂

xxwpk007

EQ

好奇怪的毒啊！
2007-07-25 12:59:55    运行应用程序      操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:C:\Documents and Settings\Administrator\桌面\svchost.EXE
触发规则:应用程序规则->自动创建规则->C:\windows\Explorer.EXE


2007-07-25 12:59:55    修改注册表内容      操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\svchost.EXE
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:*
触发规则:所有程序规则->系统自动运行->*\Software\Microsoft\Windows\CurrentVersion\Run*


2007-07-25 12:59:58    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\svchost.EXE
文件路径:C:\a.ini
触发规则:所有程序规则->系统文件->%SystemDrive%\*


2007-07-25 13:00:00    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\svchost.EXE
文件路径:C:\a.exe
触发规则:所有程序规则->系统文件->%SystemDrive%\*


2007-07-25 13:00:03    删除文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\svchost.EXE
文件路径:C:\a.ini
触发规则:所有程序规则->系统文件->%SystemDrive%\*


2007-07-25 13:00:03    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\svchost.EXE
文件路径:c:\a.exe
触发规则:所有程序规则->系统文件->%SystemDrive%\*

[ 本帖最后由 xxwpk007 于 2007-7-25 13:06 编辑 ]

lsyer

上报先~~~~~

0106

是什么病毒，奇怪的

brodbus

一个比较垃圾的小马嘛
星威杀毒软件天下第一

woai_jolin

norman pass

promised

C:\ABC\ABC\a.exe - 特征码 'Trojan-Downloader.Win32.Agent.bzr' 被发现
C:\ABC\ABC\svchost.EXE - 特征码 'Trojan-Downloader.Win32.Agent.bzr' 被发现

        2 个文件被扫描
          (0 个压缩档 0 个文件)
        2 个特征码被侦测
        0 个可疑代码段被发现
        耗时: 0:00.000

tracydk

误报王果然强