病毒

显示全部楼层 · 发表于 2012-5-23 00:41:18

2012-5-23 00:31:27 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\downloads\msupdates.exe
命令行: "C:\Downloads\MSUpdates.exe"
规则: [应用程序]c:\windows\explorer.exe

2012-5-23 00:31:27 创建文件夹阻止
进程: c:\downloads\msupdates.exe
目标: C:\Documents and Settings\All Users\「开始」菜单\程序\Updates
规则: [文件组]只读磁盘 -> [文件]c:\*

规则: [文件组]只读磁盘 -> [文件]c:\*

2012-5-23 00:31:34 创建新进程阻止
进程: c:\downloads\msupdates.exe
目标: c:\windows\system32\userinit.exe
命令行: Userinit.exe
规则: [应用程序]*

2012-5-23 00:31:34 创建文件阻止
进程: c:\downloads\msupdates.exe
目标: C:\hds1.exe
规则: [文件组]只读磁盘 -> [文件]c:\*

2012-5-23 00:31:36 底层键盘操作阻止并结束进程
进程: c:\downloads\msupdates.exe
规则: [应用程序]*

显示全部楼层 · 发表于 2012-5-23 16:31:44

livlva 发表于 2012-5-22 21:19
KIS上不是有个 KSn吗写着多于1000人使用过啊

那是必须的，因为exe文件是clean的。

显示全部楼层 · 发表于 2012-5-23 17:27:46

livlva 发表于 2012-5-22 21:19
KIS上不是有个 KSn吗写着多于1000人使用过啊

白exe+黑dll，，没办法，，

显示全部楼层 · 发表于 2012-5-23 18:40:35

飃蓅发表于 2012-5-23 17:27
白exe+黑dll，，没办法，，

这个到低是干净的还是

显示全部楼层 · 发表于 2012-5-23 18:59:08

livlva 发表于 2012-5-23 18:40
这个到低是干净的还是

押解后有两个文件，1.msupdates.exe 是干净的，而且ksn中写有1000多人使用过， 2.还有一个enlpu.dll，这个是黑的，，差点被黑

显示全部楼层 · 发表于 2012-5-23 19:07:32

飃蓅发表于 2012-5-23 18:59
押解后有两个文件，1.msupdates.exe 是干净的，而且ksn中写有1000多人使用过， 2.还有一个enlpu.dll，这个 ...

那个现在KIS能杀了吗

显示全部楼层 · 发表于 2012-5-23 19:09:11

livlva 发表于 2012-5-23 19:07
那个现在KIS能杀了吗

能，，今天早上杀了一遍搞定了，，估计上报了

显示全部楼层 · 发表于 2012-5-24 00:27:36

猎豹浏览器杀之

显示全部楼层 · 发表于 2012-5-24 00:29:10

卡巴杀之

显示全部楼层 · 发表于 2012-5-24 11:14:23

2012-05-24 11:13:17 创建文件夹阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: C:\Documents and Settings\All Users\「开始」菜单\程序\Updates
规则: [应用程序组]S+_Prgramfiles -> [文件组]目录_Desktop_限制写入

2012-05-24 11:13:18 修改注册表值阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [注册表组]others -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2012-05-24 11:13:18 删除注册表值阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [注册表组]others -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2012-05-24 11:13:18 删除注册表值阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [注册表组]others -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2012-05-24 11:13:18 结束其他进程阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]S+_Prgramfiles -> [目标应用程序]c:\windows\*

2012-05-24 11:13:18 创建新进程阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: c:\windows\system32\userinit.exe
命令行: Userinit.exe
规则: [应用程序]* -> [子应用程序]c:\windows\system32\*

2012-05-24 11:13:18 修改注册表值阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [注册表组]others -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2012-05-24 11:13:18 删除注册表值阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [注册表组]others -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2012-05-24 11:13:18 删除注册表值阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [注册表组]others -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\*

2012-05-24 11:13:18 访问网络阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: TCP [本机 : 1167] ->  [59.57.15.212 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-05-24 11:13:18 访问网络阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: TCP [本机 : 1168] ->  [59.57.15.219 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-05-24 11:13:18 访问网络阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: TCP [本机 : 1169] ->  [59.57.15.209 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-05-24 11:13:18 访问网络阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: TCP [本机 : 1170] ->  [59.57.15.210 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-05-24 11:13:19 访问网络阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: TCP [本机 : 1171] ->  [183.60.204.186 : 8090]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-05-24 11:13:19 访问网络阻止
进程: h:\program files\avp\msupdates\msupdates.exe
目标: TCP [本机 : 1172] ->  [183.60.203.84 : 8999]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

[病毒样本] 病毒

本帖子中包含更多资源

本帖子中包含更多资源