手動 HIPS 看看這隻。

显示全部楼层 · 发表于 2011-10-27 12:54:31

本帖最后由 liulangzhecgr 于 2011-10-27 12:57 编辑

rundll32.exe有这些行为：

2011-10-27 12:47:09 创建注册表项允许
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7B3AC3FA-B695-41b6-BAA0-860EB5EB6FD6}
规则: [注册表]*

2011-10-27 12:47:27 修改注册表值允许
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7B3AC3FA-B695-41b6-BAA0-860EB5EB6FD6}\{F69EB73C-700A-42c9-8F9D-E8C4ABC27EF3}
值: e343c1eb.z,1317063542,-1314480829,-1814625877
规则: [注册表]*

2011-10-27 12:47:35 创建文件允许
进程: c:\windows\system32\rundll32.exe
目标: C:\WINDOWS\msaspy.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-10-27 12:47:40 修改文件允许
进程: c:\windows\system32\rundll32.exe
目标: C:\WINDOWS\msaspy.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-10-27 12:47:56 修改注册表值阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32
值: C:\WINDOWS\msaspy.dll
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\*\InProcServer32

2011-10-27 12:48:02 创建新进程允许
进程: c:\windows\system32\rundll32.exe
目标: c:\windows\system32\rundll32.exe
命令行: rundll32 "C:\WINDOWS\msaspy.dll",_RunAs@16
规则: [应用程序]*

显示全部楼层 · 发表于 2011-10-27 13:16:23

liulangzhecgr 发表于 2011-10-27 12:54
rundll32.exe有这些行为：

2011-10-27 12:47:09 创建注册表项允许

可以給一下，病毒調用 rundll32.exe 時，是用什麼命令行嗎？

显示全部楼层 · 发表于 2011-10-27 13:22:08

WIN7运行就退出了

显示全部楼层 · 发表于 2011-10-27 13:28:05

tf kill

显示全部楼层 · 发表于 2011-10-27 13:50:04

显示全部楼层 · 发表于 2011-10-27 13:52:52

显示全部楼层 · 发表于 2011-10-27 13:55:01

上课去了，过了段时间貌似rundll32进程一直占用不退出···

显示全部楼层 · 发表于 2011-10-27 14:05:26

BitDefender
tl.exe Trojan.Generic.6695329

显示全部楼层 · 发表于 2011-10-27 14:07:13

星晨发表于 2011-10-27 14:05
BitDefender
tl.exe Trojan.Generic.6695329

运行测试一下BD的主防

显示全部楼层 · 发表于 2011-10-27 14:11:03

2011-10-27 14:05:24 运行应用程序    操作:允许
进程路径:F:\virus\tl\tl.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\9.tmp
命令行:"F:\virus\tl\tl.exe" "4064"
触发规则:所有程序规则->其它程序设置->*\Temp\*

2011-10-27 14:05:24 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\9.tmp
文件路径:C:\WINDOWS\java\classes\19b894cc.z
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\java\*

2011-10-27 14:05:24 创建文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\9.tmp
文件路径:C:\WINDOWS\java\classes\19b894cc.z
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\java\*

第二次测试：

2011-10-27 14:08:16 运行应用程序    操作:允许
进程路径:F:\virus\tl\tl.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
命令行:"F:\virus\tl\tl.exe" "1240"
触发规则:所有程序规则->其它程序设置->*\Temp\*

2011-10-27 14:08:18 创建文件    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
文件路径:C:\WINDOWS\java\classes\93575f68.z
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\java\*

2011-10-27 14:08:20 修改文件    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
文件路径:C:\WINDOWS\java\classes\93575f68.z
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\java\*

2011-10-27 14:08:24 运行应用程序    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\B.tmp
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:shell32,Control_RunDLL "C:\WINDOWS\java\classes\93575f68.z"
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe

2011-10-27 14:08:25 创建注册表值    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{7B3AC3FA-B695-41b6-BAA0-860EB5EB6FD6}
注册表名称:[Key]
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->*\CLSID\{*}*

2011-10-27 14:08:25 创建注册表值    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{7B3AC3FA-B695-41b6-BAA0-860EB5EB6FD6}
注册表名称:{F69EB73C-700A-42c9-8F9D-E8C4ABC27EF3}
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->*\CLSID\{*}*

[病毒样本] 手動 HIPS 看看這隻。

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源