可以穿透沙盘的样本

dongwenqi

第一个，to卡巴
第二个，第三个，卡巴拦截

消停

紫夜M冰凝 发表于 2012-6-29 08:59
看错了，没仔细看，刚上卡饭就收到了邀请，刚看了一下是28的

我昨天也没测，开会来着！

ppy0606

2012/6/29 09:40:21    创建文件夹    允许
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: C:\Program Files\ZczUc
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/29 09:40:30    创建文件    允许
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: C:\Program Files\ZczUc\StormPlayer.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/29 09:40:33    创建文件    允许
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: C:\Program Files\ZczUc\BxbJeevhtgt.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/29 09:40:37    创建新进程    允许
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: c:\program files\zczuc\bxbjeevhtgt.exe
命令行: "C:\Program Files\ZczUc\BxbJeevhtgt.exe"
规则: [应用程序组]『询问』病毒测试

2012/6/29 09:40:42    访问COM接口    阻止
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: {69486DD6-C19F-42E8-B508-A53F9F8E67B8} Offline Files Service Control
规则: [应用程序组]『询问』病毒测试

2012/6/29 09:40:42    修改其他进程的内存    阻止
进程: c:\program files\zczuc\bxbjeevhtgt.exe
目标: c:\program files\internet explorer\iexplore.exe
规则: [应用程序组]【授权】低限制组

2012/6/29 09:40:50    修改文件 (5)    阻止
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: \Device\NamedPipe\srvsvc
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/29 09:40:51    修改注册表值    阻止
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Direct3D\MostRecentApplication\Name
值: 远程木马.exe
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/6/29 09:40:51    结束其他进程    阻止
进程: c:\program files\zczuc\bxbjeevhtgt.exe
目标: c:\program files\internet explorer\iexplore.exe
规则: [应用程序组]【授权】低限制组

2012/6/29 09:40:51    修改文件    阻止
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: \Device\NamedPipe\srvsvc
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/29 09:40:54    修改注册表值    阻止
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: HKEY_CURRENT_USER\Software\Classes\Local Settings\MuiCache\1D3\AAF68885\LanguageList
值: zh-CN zh-Hans zh en-US en
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2012/6/29 09:40:55    修改文件    阻止
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: \Device\NamedPipe\srvsvc
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/29 09:40:57    创建新进程    允许
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: f:\program files\acdsee pro\4.0\acdseeqvpro4.exe
命令行: "F:\Program Files\ACDSee Pro\4.0\ACDSeeQVPro4.exe" "F:\下载\Compressed\远程木马骗子手里拿到的木马-\xxx.jpg"
规则: [应用程序组]『询问』病毒测试

2012/6/29 09:40:59    修改文件    阻止
进程: f:\下载\compressed\远程木马骗子手里拿到的木马-\远程木马.exe
目标: \Device\NamedPipe\srvsvc
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/6/29 09:41:54    注销、关机或重新启动系统    阻止
进程: c:\program files\zczuc\bxbjeevhtgt.exe
规则: [应用程序组]【授权】低限制组


2012/6/29 09:43:09    底层键盘操作    阻止
进程: c:\program files\zczuc\bxbjeevhtgt.exe
规则: [应用程序组]【授权】低限制组





------------------------------------------------------------------------------------------------------------------------


2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\509218.vbs
规则: [应用程序组]｛特权｝系统程序 -> [文件组]全局高危文件

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\AutoRun.inf
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\509218.vbs
规则: [应用程序组]｛特权｝系统程序 -> [文件组]全局高危文件

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\$Recycle.Bin.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\360SANDBOX.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Boot.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Config.Msi.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\DICMS
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\DICMS.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Documents and Settings.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Intel
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Intel.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\KRSHistory.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\PerfLogs
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\PerfLogs.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Program Files
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Program Files.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\ProgramData.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Recovery.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\System Volume Information.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Users
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Users.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Windows
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\Windows.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\720471.vbs
规则: [应用程序组]｛特权｝系统程序 -> [文件组]全局高危文件

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\AutoRun.inf
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\720471.vbs
规则: [应用程序组]｛特权｝系统程序 -> [文件组]全局高危文件

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\$RECYCLE.BIN.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\360SoftMove.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\DriversBackup.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\fe5290a7c5616880222d59dc2ae060.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Game
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Game.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Guitar
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Guitar.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Movie
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Movie.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Music
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Music.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Photo
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\Photo.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\System Volume Information.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    设置文件夹隐藏属性    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\TDDownload
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录

2012/6/29 09:49:11    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: D:\TDDownload.lnk
规则: [应用程序组]｛特权｝系统程序 -> [文件组]保护根目录


这货 太多了

-------------------------------------------------------------------------------------------------------


2012/6/29 09:51:45    创建文件    允许
进程: f:\下载\compressed\gdiplus.exe
目标: D:\gdiplus.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]秒杀写入

2012/6/29 09:51:47    设置文件隐藏属性    允许
进程: f:\下载\compressed\gdiplus.exe
目标: D:\gdiplus.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]秒杀写入

2012/6/29 09:51:49    创建新进程    允许
进程: f:\下载\compressed\gdiplus.exe
目标: d:\gdiplus.exe
命令行: D:\gdiplus.exe
规则: [应用程序组]『询问』病毒测试

2012/6/29 09:51:49    读文件夹    阻止
进程: d:\gdiplus.exe
目标: F:\下载\Compressed
规则: [文件组]隐藏磁盘 -> [文件]f:\*

2012/6/29 09:51:54    创建文件    允许
进程: f:\下载\compressed\gdiplus.exe
目标: F:\Program Files\Tencent\QQ\Bin\syswsock32.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/29 09:51:57    设置文件隐藏属性    允许
进程: f:\下载\compressed\gdiplus.exe
目标: F:\Program Files\Tencent\QQ\Bin\syswsock32.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/29 09:51:59    创建文件    允许
进程: f:\下载\compressed\gdiplus.exe
目标: F:\Program Files\Tencent\QQ\Bin\Wsock32.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/29 09:52:01    设置文件隐藏属性    允许
进程: f:\下载\compressed\gdiplus.exe
目标: F:\Program Files\Tencent\QQ\Bin\Wsock32.dll
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/29 09:52:06    创建文件    允许
进程: f:\下载\compressed\gdiplus.exe
目标: F:\下载\Compressed\jcreate.bat
规则: [应用程序组]『询问』病毒测试 -> [文件组]全局高危文件

2012/6/29 09:52:14    创建新进程 (2)    允许
进程: f:\下载\compressed\gdiplus.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c .\jcreate.bat
规则: [应用程序组]『询问』病毒测试

1. @echo off
   
2. :redel
   
3. del gdiplus.exe
   
4. if exist gdiplus.exe goto redel
   
5. del jcreate.bat
   

复制代码

122693882

解压缩 微点全部解决 威武啊

122693882

ps  有两个是双击的 说错了

蓝核

FS第一个暂时无反应……后两个被干了

wuyongliang

第一个运行   毛豆云 KILL了   后2个 FS杀了就不试了

悠柚

D:\Download\1\gdiplus.exe,查到病毒： W32/Agent.CBWO!tr, 操作： 删除/隔离
D:\Download\1\新建文件夹\1814146029.vbs,查到病毒： VBS/AutoRun.GN, 操作： 删除/隔离

michael123

天山童姥 发表于 2012-6-28 23:31
我的是默认设置，杀后两个

你的头像也太

Dust-;羅錠

大蜘蛛killed 2x：


余下已上报。