木马

liulangzhecgr

2011-11-2 08:33:00    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\qqxw\qqxw.exe
命令行: "E:\downloads\qqxw\qqxw.exe"
规则: [应用程序]*

2011-11-2 08:33:16    创建文件    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\wznbze.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-11-2 08:33:19    创建文件    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\sowboh.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:33:23    创建文件    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\pldxczx.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:33:27    创建新进程    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\pldxczx.bat
规则: [应用程序]*

2011-11-2 08:33:30    修改文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\sowboh.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:33:32    创建文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\rpbbmuke.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:33:37    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\documents and settings\administrator\local settings\temp\wznbze.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wznbze.exe"
规则: [应用程序]*

2011-11-2 08:33:50    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: C:\WINDOWS\system32\dum.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2011-11-2 08:33:58    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: C:\WINDOWS\system32\drivers\nvnvp.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2011-11-2 08:34:15    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:26    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\Type
值: 0x00000001(1)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:27    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\Start
值: 0x00000000(0)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:29    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\ErrorControl
值: 0x00000001(1)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:30    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\ImagePath
值: system32\drivers\nvnvp.sys
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:33    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\DisplayName
值: nvnvp
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:35    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\Security
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:37    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\Security\Security
值: 01 00 14 80 90 00 00 00 9c 00 00 00 14 00 00 00 30 00 00 00 02 00 1c 00 01 00 00 00 02 80 14 00 ff 01 0f 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 fd 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 ff 01 0f 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8d 01 02 00 01 01 00 00 00 00 00 05 0b 00 00 00 00 00 18 00 fd 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2011-11-2 08:34:42    加载驱动程序    阻止
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\drivers\nvnvp.sys
规则: [应用程序]c:\windows\system32\services.exe

2011-11-2 08:34:46    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\ImagePath
值: system32\drivers\nvnvp.sys
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-11-2 08:34:49    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\DisplayName
值: nvnvp
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-11-2 08:34:54    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\ErrorControl
值: 0x00000001(1)
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-11-2 08:34:58    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\Start
值: 0x00000000(0)
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-11-2 08:35:02    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nvnvp\Type
值: 0x00000001(1)
规则: [注册表组]安装服务和驱动 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services*

2011-11-2 08:35:08    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: c:\windows\explorer.exe
命令行: explorer.exe
规则: [应用程序]*

2011-11-2 08:35:13    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: C:\WINDOWS\system32\losnhd.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:35:20    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\wznbze.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c C:\WINDOWS\system32\losnhd.bat
规则: [应用程序]*

2011-11-2 08:35:26    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\wznbze.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-11-2 08:35:29    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\ping.exe
命令行: ping 127.0.0.1
规则: [应用程序]*

2011-11-2 08:35:32    访问网络    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: UDP [本机 : 1487] ->  [127.0.0.1 : 1487]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-2 08:35:36    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\WINDOWS\system32\losnhd.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:35:43    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: E:\downloads\qqxw\qqxw.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-11-2 08:35:47    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: E:\downloads\qqxw\qqxw.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-11-2 08:35:51    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\rpbbmuke.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:35:57    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\pldxczx.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:36:14    访问网络    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: TCP [本机 : 1493] ->  [202.98.24.121 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-2 08:36:15    访问网络    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: TCP [本机 : 1494] ->  [202.98.24.121 : 8080]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-11-2 08:36:22    创建文件    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\BHSXJZVF\jldnserror1_wo_com_cn[2].txt
规则: [文件]*

2011-11-2 08:36:27    创建文件    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\mdanhm.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-11-2 08:36:30    创建文件    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\hzlblv.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:36:32    创建文件    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\gxyqeqi.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:36:34    创建新进程    允许
进程: e:\downloads\qqxw\qqxw.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\gxyqeqi.bat
规则: [应用程序]*

2011-11-2 08:36:37    修改文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\hzlblv.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:36:39    创建文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\zjyopsdr.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:36:41    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\ntvdm.exe
命令行: "C:\WINDOWS\system32\ntvdm.exe" -f -o
规则: [应用程序]*

2011-11-2 08:36:46    创建文件    允许
进程: c:\windows\system32\ntvdm.exe
目标: C:\WINDOWS\TEMP\scs3.tmp
规则: [文件]*

2011-11-2 08:36:48    修改文件    允许
进程: c:\windows\system32\ntvdm.exe
目标: C:\WINDOWS\temp\scs3.tmp
规则: [文件]*

2011-11-2 08:36:51    创建文件    允许
进程: c:\windows\system32\ntvdm.exe
目标: C:\WINDOWS\TEMP\scs4.tmp
规则: [文件]*

2011-11-2 08:36:52    修改文件    允许
进程: c:\windows\system32\ntvdm.exe
目标: C:\WINDOWS\temp\scs4.tmp
规则: [文件]*

2011-11-2 08:36:54    删除文件    允许
进程: c:\windows\system32\ntvdm.exe
目标: C:\WINDOWS\temp\scs3.tmp
规则: [文件]*

2011-11-2 08:36:56    删除文件    允许
进程: c:\windows\system32\ntvdm.exe
目标: C:\WINDOWS\temp\scs4.tmp
规则: [文件]*

2011-11-2 08:36:59    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\ping.exe
命令行: ping 127.0.0.1
规则: [应用程序]*

2011-11-2 08:37:06    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: E:\downloads\qqxw\qqxw.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-11-2 08:37:08    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\zjyopsdr.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2011-11-2 08:37:10    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\gxyqeqi.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat