調用 wuauclt.exe 作壞事

a256886572008

Howl 发表于 2012-5-24 12:24
程序：
Z:\系统缓存\用户临时文件夹\000B495E.EXE
木马程序生成以下文件：

微點只攔得到 他下載的病毒，母體攔不住？

zyx9

KV主防Kill

hddu

2012-05-24 13:10:22    运行应用程序      操作:允许
进程路径:F:\virus\a9129_3\a9129_3.EXE
文件路径:C:\WINDOWS\system32\wuauclt.exe
触发规则:应用程序规则->程序->?:\*


2012-05-24 13:10:26    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\wuauclt.exe
注册表路径:HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\Policies\Explorer\Run
注册表名称:[Key]
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run*


2012-05-24 13:10:26    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\wuauclt.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
注册表名称:[Key]
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run*


2012-05-24 13:10:28    修改其它进程内存      操作:阻止
进程路径:C:\WINDOWS\system32\wuauclt.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:38    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\wuauclt.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*


2012-05-24 13:10:41    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Royl
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2012-05-24 13:10:42    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2012-05-24 13:10:42    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Etakos
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2012-05-24 13:10:43    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Peupe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2012-05-24 13:10:45    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*.exe


2012-05-24 13:10:46    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
触发规则:应用程序规则->程序->?:\*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\WINDOWS\mixer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\WINDOWS\system32\ctfmon.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\Program Files\SogouExplorer\sogouexplorer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\Program Files\SogouExplorer\sogouexplorer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\Program Files\SogouExplorer\sogouexplorer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\Program Files\SogouExplorer\sogouexplorer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\Program Files\SogouExplorer\sogouexplorer.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    修改其它进程内存      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\WINDOWS\system32\wuauclt.exe
触发规则:所有程序规则->*


2012-05-24 13:10:46    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Application Data\Royl\xaig.exe
目标进程:C:\Documents and Settings\Administrator\Local Settings\Temp\0011749c.exe
触发规则:所有程序规则->*

crystalsong08

FSCS扫描MISS DG无反应 防火墙提示联网 已上报

liulangzhecgr

隔山观火。。。没人妻

英九

Howl

a256886572008 发表于 2012-5-24 12:51
微點只攔得到 他下載的病毒，母體攔不住？

好像是这样，回头联系微点问问

潇湘颦儿

抱歉，该附件无法读取
下载不了了啊

a256886572008

潇湘颦儿 发表于 2012-5-24 16:43
抱歉，该附件无法读取
下载不了了啊

你是访客，没权限下载

firefox3

消停 发表于 2012-5-24 11:10
费尔v8

开到最大，卡不卡？