高质量病毒

hddu

2012-05-20 20:00:02    运行应用程序      操作:允许
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/C C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~RomDmp1\RomDump.com > C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~RomDmp1\Rom.dmp
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2012-05-20 20:00:03    访问物理内存      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
物理内存:\Device\PhysicalMemory
触发规则:应用程序规则->系统程序->%windir%\system32\ntvdm.exe


2012-05-20 20:00:05    运行应用程序      操作:允许
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/C C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~RomDmp2\RomDump.com > C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~RomDmp2\Rom.dmp
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2012-05-20 20:00:06    访问物理内存      操作:允许
进程路径:C:\WINDOWS\system32\ntvdm.exe
物理内存:\Device\PhysicalMemory
触发规则:应用程序规则->系统程序->%windir%\system32\ntvdm.exe


2012-05-20 20:00:09    运行应用程序      操作:允许
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\WINDOWS\system32\taskkill.exe
命令行:/f /im qa
触发规则:所有程序规则->系统程序设置->%windir%\system32\taskkill.exe


2012-05-20 20:00:11    运行应用程序      操作:允许
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\WINDOWS\system32\taskkill.exe
命令行:/f /im qw
触发规则:所有程序规则->系统程序设置->%windir%\system32\taskkill.exe


2012-05-20 20:00:12    创建文件      操作:阻止
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\附件\se
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\附件\*


2012-05-20 20:00:14    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\taskkill.exe
文件路径:C:\WINDOWS\system32\WBEM\Logs\wbemprox.log
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->$parent$\*


2012-05-20 20:00:16    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\taskkill.exe
文件路径:C:\WINDOWS\system32\WBEM\Logs\wbemprox.log
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->$parent$\*


2012-05-20 20:00:17    运行应用程序      操作:允许
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability /v 156 /d as /f
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2012-05-20 20:00:17    创建文件      操作:允许
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\3271600.dll
触发规则:所有程序规则->全局设置->?:\*.dll


2012-05-20 20:00:18    修改文件      操作:阻止
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\3271600.dll
触发规则:所有程序规则->全局设置->?:\*.dll


2012-05-20 20:00:20    修改注册表内容      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RemoteAccess
注册表名称:Start
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-05-20 20:00:21    创建注册表值      操作:允许
进程路径:F:\virus\12311\123\123.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ipx
注册表名称:[Key]
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-05-20 20:00:29    创建文件      操作:允许
进程路径:F:\virus\12311\123\123.exe
文件路径:C:\Program Files\Lhij
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2012-05-20 20:00:30    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ghijkl Nopqrstu Wxy
注册表名称:ImagePath
触发规则:应用程序规则->系统程序->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-05-20 20:00:30    注册表数据转储      操作:阻止
进程路径:F:\virus\12311\123\123.exe
文件路径:\Device\HarddiskVolume1\selang.ini
触发规则:所有程序规则->*


2012-05-20 20:00:30    注册表数据转储      操作:阻止
进程路径:F:\virus\12311\123\123.exe
文件路径:\Device\HarddiskVolume1\selang.ini
触发规则:所有程序规则->*


2012-05-20 20:00:30    注册表数据转储      操作:阻止
进程路径:F:\virus\12311\123\123.exe
文件路径:\Device\HarddiskVolume1\selang.ini
触发规则:所有程序规则->*


2012-05-20 20:00:30    注册表数据转储      操作:阻止
进程路径:F:\virus\12311\123\123.exe
文件路径:\Device\HarddiskVolume1\selang.ini
触发规则:所有程序规则->*


2012-05-20 20:00:30    注册表数据转储      操作:阻止
进程路径:F:\virus\12311\123\123.exe
文件路径:\Device\HarddiskVolume1\selang.ini
触发规则:所有程序规则->*

cjz

zckey 发表于 2012-5-19 15:01
运行毒霸杀

毒霸没反应

XMonster

Filseclab

Packed.EncryptPE.A.nuen

328397663

DR/Dropper.ugn.1

没有方向

是怎么弄的说呢