研究研究这个病毒都执行了什么操作

hddu

2012-12-02 16:40:05    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:F:\virus\病毒\新建文件夹\938538603.vbs
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\685425281.vbs
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\AutoRun.inf
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\685425281.vbs
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\Documents and Settings
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\Documents and Settings.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\EQSandBox.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\KRECYCLE
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\KRECYCLE.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\KRSHistory
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\KRSHistory.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\KSafeRecycle
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\KSafeRecycle.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\ksDownloads
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\ksDownloads.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\Program Files
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\Program Files.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\Recycled
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\Recycled.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\RECYCLER
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\RECYCLER.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\System Volume Information.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:10    修改文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\WINDOWS
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe


2012-12-02 16:40:11    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\WINDOWS.lnk
触发规则:应用程序规则->临时测试->C:\WINDOWS\system32\wscript.exe

较为详细测试结果请看附件。

hddu

2012-12-02 17:04:58    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\685425281.vbs
触发规则:所有程序规则->全局设置->%SystemDrive%\*.vbs


2012-12-02 17:04:58    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\685425281.vbs
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\*


2012-12-02 17:04:58    创建文件      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\AutoRun.inf
触发规则:应用程序规则->防止网马->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE->?:\autorun.*


2012-12-02 17:05:09    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\685425281.vbs
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\*


2012-12-02 17:05:09    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\685425281.vbs
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\*


2012-12-02 17:05:09    创建文件      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\AutoRun.inf
触发规则:应用程序规则->防止网马->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE->?:\autorun.*


2012-12-02 17:05:20    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\685425281.vbs
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\*


2012-12-02 17:05:20    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:(隐藏文件)C:\685425281.vbs
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\*


2012-12-02 17:05:20    创建文件      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\AutoRun.inf
触发规则:应用程序规则->防止网马->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE->?:\autorun.*

liangxy

vm001 发表于 2012-12-2 15:53
暴风1号，360目前还是无法完美拦截此毒

不是说360的qvm免杀很困难么？

Ｍy↘じ★ve

vm001 发表于 2012-12-2 16:45
我说的是主防，你这个杀了是应为你开了红伞引擎

报毒名明显不是红伞。
360QVM杀的。
主防拦不拦不知道，被QVM检测到就无法测试主防。

vm001

Ｍy↘じ★ve 发表于 2012-12-2 17:22
报毒名明显不是红伞。
360QVM杀的。
主防拦不拦不知道，被QVM检测到就无法测试主防。

汗，你用了多长时间360了，你的截图哪儿有QVM了？

vm001

liangxy 发表于 2012-12-2 17:21
不是说360的qvm免杀很困难么？

非PE文件

Ｍy↘じ★ve

vm001 发表于 2012-12-2 17:25
汗，你用了多长时间360了，你的截图哪儿有QVM了？

嗯，看错了。
360不了解，我一直用COMODO的。

蓝天二号

ESS

IOOOOI

l2003529

FS KILL