收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 关于鬼影6
12345678下一页
返回列表 发新帖
楼主: 潇湘颦儿
 收起左侧

[病毒样本] 关于鬼影6

  [复制链接]
liulangzhecgr
发表于 2012-8-23 10:04:27 | 显示全部楼层
本帖最后由 liulangzhecgr 于 2012-8-23 10:05 编辑

2012-8-23 09:43:52    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\downloads\管理员\1001\1001.exe
命令行: "E:\downloads\管理员\1001\1001.exe"
规则: [应用程序]*

2012-8-23 09:44:00    创建文件夹    允许
进程: e:\downloads\管理员\1001\1001.exe
目标: C:\Temp
规则: [应用程序]* -> [文件]*

2012-8-23 09:44:03    修改文件    允许
进程: e:\downloads\管理员\1001\1001.exe
目标: \Device\NamedPipe\samr
规则: [应用程序]* -> [文件]*

2012-8-23 09:44:19    修改注册表值    阻止
进程: c:\windows\system32\lsass.exe
目标: HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
值:
规则: [应用程序]c:\windows\system32\lsass.exe -> [注册表]*

2012-8-23 09:44:24    使用配置单元文件替换注册表项    阻止
进程: c:\windows\system32\lsass.exe
目标: HKEY_LOCAL_MACHINE\SAM
配置单元:
规则: [应用程序]c:\windows\system32\lsass.exe

2012-8-23 09:44:30    修改文件    允许
进程: e:\downloads\管理员\1001\1001.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]* -> [文件]*

2012-8-23 09:44:46    从其他进程复制句柄    允许
进程: c:\windows\system32\svchost.exe
目标: e:\downloads\管理员\1001\1001.exe
句柄: (WindowStation) \Windows\WindowStations\WinSta0
规则: [应用程序]c:\windows\system32\svchost.exe

2012-8-23 09:45:02    创建文件    允许
进程: e:\downloads\管理员\1001\1001.exe
目标: C:\temp\hzxrpjhbzz.sys
规则: [应用程序]* -> [文件]*

2012-8-23 09:45:10    安装驱动程序或服务    允许
进程: e:\downloads\管理员\1001\1001.exe
目标: C:\temp\hzxrpjhbzz.sys
规则: [应用程序]*

2012-8-23 09:45:17    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hzxrpjhbzz
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2012-8-23 09:45:20    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hzxrpjhbzz\Type
值: 0x00000001(1)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2012-8-23 09:45:21    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hzxrpjhbzz\Start
值: 0x00000003(3)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2012-8-23 09:45:23    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hzxrpjhbzz\ErrorControl
值: 0x00000000(0)
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2012-8-23 09:45:29    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hzxrpjhbzz\ImagePath
值: \??\C:\temp\hzxrpjhbzz.sys
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2012-8-23 09:45:38    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hzxrpjhbzz\DisplayName
值: hzxrpjhbzz
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

2012-8-23 09:45:43    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hzxrpjhbzz\Security
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]*

再次出现蓝屏。。。









本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

消停
头像被屏蔽
发表于 2012-8-23 10:24:34 | 显示全部楼层
wjcharles 发表于 2012-8-22 19:28
NIS2012启发

这个是本地启发吗？
回复

举报

crystalsong08
发表于 2012-8-23 11:44:21 | 显示全部楼层
扫描报告
2012年8月23日 11:43:51 - 11:43:53

计算机名称: ARCTICSN-59A5F2
扫描类型: 扫描目标
目标: C:\Documents and Settings\Administrator\My Documents\1001.exe
结果: 找到 1 恶意软件
Gen:Trojan.Heur.RP.nG0@a0wuDIbj (病毒)

    C:\Documents and Settings\Administrator\My Documents\1001.exe 操作： 删除
回复

举报

baianning1993
发表于 2012-8-23 17:44:59 | 显示全部楼层
AVAST 7.0 MISS
回复

举报

b2616825
发表于 2012-8-23 17:59:29 | 显示全部楼层
额
回复

举报

b2616825
发表于 2012-8-23 17:59:55 | 显示全部楼层
影子系统穿的过吗
回复

举报

liulangzhecgr
发表于 2012-8-23 19:54:45 | 显示全部楼层
打包：

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

sunzhuanyong 该用户已被删除
发表于 2012-8-23 20:02:55 | 显示全部楼层
本帖最后由 sunzhuanyong 于 2012-8-23 20:05 编辑


avast kill

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

左手
发表于 2012-8-24 10:27:52 | 显示全部楼层
2012-8-24 10:21:12    创建注册表项    阻止
进程: c:\windows\system32\lsass.exe
目标: HKEY_LOCAL_MACHINE\SAM\SAM\DOMAINS\Account\Users\Names\mima1
规则: [应用程序]c:\windows\system32\lsass.exe -> [注册表]HKEY_LOCAL_MACHINE\SAM\SAM\DOMAINS\Account\Users\Names

2012-8-24 10:21:19    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kicavsnkfd
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2012-8-24 10:21:26    创建注册表项    阻止
进程: d:\program files\test\1001.exe
目标: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\p2phook
规则: [注册表组]r080_服务 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2012-8-24 10:21:29    创建注册表项    阻止
进程: d:\program files\test\1001.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\p2phook
规则: [注册表组]r080_服务 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

2012-8-24 10:21:36    加载驱动程序    阻止
进程: d:\program files\test\1001.exe
目标: c:\windows\system32\drivers\p2phook.sys
规则: [应用程序]* -> [驱动程序]c:\windows\*

2012-8-24 10:21:38    创建注册表项    阻止
进程: c:\windows\system32\lsass.exe
目标: HKEY_LOCAL_MACHINE\SAM\SAM\DOMAINS\Account\Users\Names\mima1
规则: [应用程序]c:\windows\system32\lsass.exe -> [注册表]HKEY_LOCAL_MACHINE\SAM\SAM\DOMAINS\Account\Users\Names

2012-8-24 10:21:43    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\zurmkecwuo
规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services

回复

举报

hx1997
发表于 2012-8-24 10:42:29 | 显示全部楼层
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\inetcpl.cpl        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\mshtml.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\mshtml.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\mshtml.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\mshtml.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\shell32.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\shell32.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\shell32.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:19 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to file        C:\WINDOWS\system32\shell32.dll        some access blocked        076.系统dll_1        Write to file
8/24/2012 10:34:18 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to another application        C:\WINDOWS\explorer.exe        some access blocked        006.iexplore.exe>%WinDir%\*       
8/24/2012 10:34:18 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to another application        C:\WINDOWS\explorer.exe        some access blocked        006.iexplore.exe>%WinDir%\*       
8/24/2012 10:34:18 AM        C:\Program Files\Internet Explorer\IEXPLORE.EXE        Get access to another application        C:\WINDOWS\explorer.exe        some access blocked        006.iexplore.exe>%WinDir%\*       
8/24/2012 10:34:17 AM        C:\Documents and Settings\Administrator\Desktop\1001.exe        Start new application        C:\Program Files\Internet Explorer\IEXPLORE.EXE        allowed        006.启动浏览器       

没反应了。
回复

举报

下一页 »
12345678下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-1-16 10:45 , Processed in 0.097013 second(s), 14 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表