很老的样本！但先染毒，有几个杀软杀了不蓝屏的举个手！！！

左手

2012-5-9 16:04:58    修改文件    允许
进程: c:\windows\test\123.exe
目标: C:\Documents and Settings\Infotmp.txt
规则: [应用程序组]D+_全局SystemRoot目录 -> [文件组]文件类型_含后缀所有

2012-5-9 16:04:59    创建文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\31560080.tmp
规则: [应用程序组]D+_全局SystemRoot目录 -> [文件组]D_行为防御_System Folder -> [文件]c:\windows\system32\*

2012-5-9 16:04:59    向其他进程发送消息    阻止
进程: c:\windows\test\123.exe
目标: c:\windows\explorer.exe
消息: WM_INPUTLANGCHANGEREQUEST
规则: [应用程序组]D+_全局SystemRoot目录

2012-5-9 16:04:59    向其他进程发送消息    阻止
进程: c:\windows\test\123.exe
目标: c:\windows\explorer.exe
消息: WM_INPUTLANGCHANGEREQUEST
规则: [应用程序组]D+_全局SystemRoot目录

2012-5-9 16:05:02    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\mspmsnsv.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\ntmssvc.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\mspmsnsv.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\ntmssvc.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    修改文件    阻止
进程: c:\windows\test\123.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [应用程序组]U+_行为防御_高危恶意行为拦截 -> [应用程序]* -> [文件组]G_行为防御_Dll劫持修改

2012-5-9 16:05:03    创建注册表项    阻止并结束进程
进程: c:\windows\test\123.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\Parameters
规则: [应用程序组]D+_全局SystemRoot目录 -> [注册表组]细化_系统或软件服务

sanhu35

左手 发表于 2012-5-9 16:05
2012-5-9 16:04:58    修改文件    允许
进程: c:\windows\test\123.exe
目标: C:\Documents and Setting ...

还是之前那个东西

656635525

关了监控  估计都要壮烈 AVG多步主防  等样本坏事做完了悲剧了   进程就剩IDP的进程   什么组件都没了就像被卸载了一样     AVAST关了监控什么都被干掉了打不开界面进程一个不剩    就不说能染毒再杀  全安不上被钩了

qq592019174

liningaigo 发表于 2012-5-9 14:05
把江民整个退出了，再运行样本。江民就开不出了。

悲剧给

Nocria

656635525 发表于 2012-5-9 16:47
关了监控  估计都要壮烈 AVG多步主防  等样本坏事做完了悲剧了   进程就剩IDP的进程   什么组件都没了就像被 ...

关了监控的话，自保应该也失效了。
悲剧了。

sy0923

金山拦截