FakeAV

-oAo-

木马

liulangzhecgr

mbr病毒 ！
组策略防御Fake AV 成功！
组策略无法防御底层磁盘写操作而失败 !

总之失败告终...

-------------------------------------------------------------------------------
2012-3-18 19:00:51    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\1\1234.exe
命令行: "E:\downloads\1\1234.exe"
规则: [应用程序]*

2012-3-18 19:04:28    创建注册表项    允许
进程: e:\downloads\1\1234.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
规则: [应用程序]* -> [注册表]*

2012-3-18 19:04:31    修改注册表值    允许
进程: e:\downloads\1\1234.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
值: 0x00000001(1)
规则: [应用程序]* -> [注册表]*

2012-3-18 19:04:36    修改注册表值    允许
进程: e:\downloads\1\1234.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\DisableTaskMgr
值: 0x00000001(1)
规则: [应用程序]* -> [注册表]*

2012-3-18 19:04:59    创建文件    允许
进程: e:\downloads\1\1234.exe
目标: C:\Documents and Settings\All Users\Application Data\VwQGJwSURThVmE.exe
规则: [应用程序]* -> [文件]*

2012-3-18 19:05:01    修改注册表值    允许
进程: e:\downloads\1\1234.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\VwQGJwSURThVmE.exe
值: C:\Documents and Settings\All Users\Application Data\VwQGJwSURThVmE.exe
规则: [应用程序]* -> [注册表]*

2012-3-18 19:06:06    创建新进程    允许
进程: e:\downloads\1\1234.exe
目标: c:\documents and settings\administrator\local settings\temp\rkokvabuppfszq.exe
命令行: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\rKOkVaBUpPfszQ.exe
规则: [应用程序]*

2012-3-18 19:06:13    创建文件    允许
进程: e:\downloads\1\1234.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\ZIzkaPMBrCyX1N.exe.tmp
规则: [应用程序]* -> [文件]*

2012-3-18 19:06:25    访问COM接口    允许
进程: c:\documents and settings\administrator\local settings\temp\rkokvabuppfszq.exe
目标: {8BC3F05E-D86B-11D0-A075-00C04FB68820} Windows Management and Instrumentation
规则: [应用程序]*

2012-3-18 19:06:32    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\rkokvabuppfszq.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\High_Definition_Audio_Controller.exe
规则: [应用程序]* -> [文件]*

2012-3-18 19:06:37    修改文件    允许
进程: c:\documents and settings\administrator\local settings\temp\rkokvabuppfszq.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\rKOkVaBUpPfszQ.exe
规则: [应用程序]* -> [文件]*

2012-3-18 19:07:08    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\rkokvabuppfszq.exe
目标: c:\documents and settings\administrator\local settings\temp\high_definition_audio_controller.exe
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\High_Definition_Audio_Controller.exe"
规则: [应用程序]*

2012-3-18 19:08:00    底层磁盘写操作 (3)    允许
进程: c:\documents and settings\administrator\local settings\temp\high_definition_audio_controller.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2012-3-18 19:08:01    访问COM接口    允许
进程: c:\documents and settings\administrator\local settings\temp\high_definition_audio_controller.exe
目标: {9C38ED61-D565-4728-AEEE-C80952F0ECDE}
规则: [应用程序]*

2012-3-18 19:08:15    底层磁盘写操作 (15)    允许
进程: c:\documents and settings\administrator\local settings\temp\high_definition_audio_controller.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2012-3-18 19:08:22    修改文件    允许
进程: c:\documents and settings\administrator\local settings\temp\high_definition_audio_controller.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\High_Definition_Audio_Controller.exe
规则: [应用程序]* -> [文件]*

1341767532

卡巴kill

淡漠心情

上报江民了，感谢提供！

瓜皮猫

2012/3/18 21:40:20        HTTP 过滤器        文件        http://bbs.kafan.cn/forum.php?mo ... DQ4OTI2NXwxMjQzNzM0        Win32/TrojanDownloader.Prodatect.BK 特洛伊木马        连接中断 - 已隔离        微亿毫-PC\微亿毫        通过应用程序访问 web 时检测到威胁: C:\Users\微亿毫\Desktop\iexplore.exe.

ADSLgg

红伞miss，to

留侯

大蜘蛛：
1.exe infected with Trojan.Fakealert.27220