vbs病毒可过沙盘

zaqwe3008

大概行为 .

2012-3-28 15:11:23    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\wscript.exe
命令行: "C:\WINDOWS\System32\WScript.exe" "C:\Documents and Settings\Administrator\桌面\新建文件夹 (2)\1814146029.vbs"
规则: [应用程序]c:\windows\explorer.exe -> [子应用程序]『禁运』黑名单

2012-3-28 15:11:33    访问COM接口 (3)    允许
进程: c:\windows\system32\wscript.exe
目标: {8BC3F05E-D86B-11D0-A075-00C04FB68820} Windows Management and Instrumentation
规则: [应用程序]* -> [COM接口]{8BC3F05E-D86B-11D0-A075-00C04FB68820}

2012-3-28 15:11:34    修改注册表值    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN\CheckedValue
值: 0x00000003(3)
规则: [注册表组]资源管理器 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden*

2012-3-28 15:11:34    修改注册表值    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
值: 0x00000002(2)
规则: [注册表组]资源管理器 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden*

2012-3-28 15:11:34    修改注册表值    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun
值: 0x00000000(0)
规则: [注册表组]重要设置 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies*

2012-3-28 15:11:37    访问COM接口    允许
进程: c:\windows\system32\wscript.exe
目标: {8BC3F05E-D86B-11D0-A075-00C04FB68820} Windows Management and Instrumentation
规则: [应用程序]* -> [COM接口]{8BC3F05E-D86B-11D0-A075-00C04FB68820}

2012-3-28 15:11:37    创建新进程    阻止
进程: c:\windows\system32\wscript.exe
目标: c:\windows\system\svchost.exe
命令行: "C:\WINDOWS\system\svchost.exe" C:\WINDOWS\system32\smss.exe:2025423586.vbs
规则: [应用程序组]『限制』特殊目录

2012-3-28 15:11:47    创建新进程    阻止
进程: c:\windows\system32\wscript.exe
目标: c:\windows\system\svchost.exe
命令行: "C:\WINDOWS\system\svchost.exe" C:\WINDOWS\system32\smss.exe:2025423586.vbs
规则: [应用程序组]『限制』特殊目录

2012-3-28 15:11:51    读文件夹    阻止
进程: c:\windows\system32\wscript.exe
目标: D:
规则: [文件组]隐藏磁盘 -> [文件]d:\*

2012-3-28 15:11:51    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\.vbs
规则: [文件组]隐藏磁盘 -> [文件]d:\*

2012-3-28 15:11:51    读文件 (2)    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\AutoRun.inf
规则: [文件组]隐藏磁盘 -> [文件]d:\*

在每个盘符多建立了那个文件 .....AutoRun.inf ..vbs.1814146029.vbs.  


AutoRun.inf内容
[AutoRun]
Shellexecute=WScript.exe 1886059763.vbs "AutoRun"
shell\open=打开(&O)
shell\open\command=WScript.exe 1886059763.vbs "AutoRun"
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\command=WScript.exe 1886059763.vbs "AutoRun"

billgates1996

网站被阻止！
G Data 互联网安全套装 2012已阻止访问此网站。
该站点包含被感染的代码：VBS:AutoRun-BM [Wrm] (引擎B)。

ELOHIM

Category: Worm

Description: This program is dangerous and self-propagates over a network connection.

Recommended action: Remove this software immediately.

为什么都报蠕虫，数字报木马病毒？

Nocria

wuyongliang 发表于 2012-3-28 14:37
截图 不如 粘贴这个呢 省事

Results

我这里这个插件好像不起作用

gaojun7206

VBS:AutoRun-BM [Wrm]

wuyongliang

humanlwj52 发表于 2012-3-28 15:42
我这里这个插件好像不起作用

火狐 支持这个插件  

Nocria

wuyongliang 发表于 2012-3-28 16:26
火狐 支持这个插件

好的，试试去

蓝天二号

过不了卡巴

benteng302

liulangzhecgr 发表于 2012-3-28 09:55
2012-3-28 09:39:15    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\w ...

老大，你使用的是什么杀毒软件或者主动防御呢？可以这么详细的记录软件的进程创建，注册表访问呢，谢谢！

liulangzhecgr

benteng302 发表于 2012-3-28 19:52
老大，你使用的是什么杀毒软件或者主动防御呢？可以这么详细的记录软件的进程创建，注册表访问呢，谢谢！

MD !