From E-mail

显示全部楼层 · 发表于 2012-2-8 13:44:28

本帖最后由 liulangzhecgr 于 2012-2-8 13:46 编辑

2012-2-8 13:38:38 创建新进程允许
进程: c:\windows\explorer.exe
目标: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
命令行: "K:\download\DHL-EXPRESS-DELIVERY-NOTIFICATION-FEB\DHL-EXPRESS-DELIVERY-NOTIFICATION-FEB.exe"
规则: [应用程序]*

2012-2-8 13:38:44 创建文件允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: C:\Documents and Settings\Administrator\21pt69myr0.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2012-2-8 13:38:57 修改注册表值允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\21pt69myr0
值: f3 76 ba b7 6f 11 12 47 8f 5b f2 74 9d fd b1 2e
规则: [注册表]*

2012-2-8 13:38:59 访问网络允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: TCP [本机 : 3719] ->  [50.97.218.11 : 443 (https)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-2-8 13:39:05 创建新进程允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: c:\windows\system32\svchost.exe
命令行: C:\WINDOWS\system32\svchost.exe
规则: [应用程序]*

2012-2-8 13:39:19 修改其他进程的线程允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序]*

2012-2-8 13:39:22 访问网络允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: TCP [本机 : 3720] ->  [50.97.219.32 : 443 (https)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-2-8 13:39:28 创建新进程允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: c:\windows\system32\svchost.exe
命令行: C:\WINDOWS\system32\svchost.exe
规则: [应用程序]*

2012-2-8 13:39:41 访问网络允许
进程: k:\download\dhl-express-delivery-notification-feb\dhl-express-delivery-notification-feb.exe
目标: TCP [本机 : 3721] ->  [50.97.219.33 : 443 (https)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

... ...

显示全部楼层 · 发表于 2012-2-8 13:47:33

to MSE

显示全部楼层 · 发表于 2012-2-8 13:53:40

wuyongliang 发表于 2012-2-8 12:49
IDP kill 我的FS还没更新完先测试IDP了

总监帮忙测一下DG吧，我是实机，暂时不敢测DG，FS扫描是Miss掉了

显示全部楼层 · 发表于 2012-2-8 13:58:25

微软入库

显示全部楼层 · 发表于 2012-2-8 14:27:06

衍生物

显示全部楼层 · 发表于 2012-2-8 14:32:32

billgates1996 发表于 2012-2-8 14:27
衍生物

跟主体的MD5一样

显示全部楼层 · 发表于 2012-2-8 14:33:26

衍生物
https://www.virustotal.com/file/ ... nalysis/1328682613/

显示全部楼层 · 发表于 2012-2-8 14:48:28

nis kill

显示全部楼层 · 发表于 2012-2-8 14:56:07

keyaozhang 发表于 2012-2-8 13:53
总监帮忙测一下DG吧，我是实机，暂时不敢测DG，FS扫描是Miss掉了

我沙盘运行没报沙盘运行IDP报把IDP卸载了沙盘运行DG都不报

显示全部楼层 · 发表于 2012-2-8 15:01:58

wuyongliang 发表于 2012-2-8 14:56
我沙盘运行没报沙盘运行IDP报把IDP卸载了沙盘运行DG都不报

看来FS的DG还不如idp呢

[病毒样本] From E-mail

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源