之前的白加黑远控----今天照样过360卫士和金山毒霸----悲哀.....无限的悲哀.......

lzw360_/cy

当然，是我主动优化的，360并没有把江民放到一键优化里

wqcaokeyinwq

真小读者 发表于 2012-12-4 20:48
我不常用影子，就是偶尔测病毒、试新软件的时候开影子。我把微点的安装目录排出了 。不知道是不是还要排除 ...

我觉得影子。。。不太好用。。。

要是最真实的环境。。还是冰点做的比较好。。。

对了。。。这个样本。。怎么不见其他杀软的查杀报告啊。。。

hddu

安装

2012-12-04 20:48:18    运行应用程序      操作:允许
进程路径:F:\virus\geam456.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
命令行:"__IRAFN:F:\virus\geam456.exe"
触发规则:所有程序规则->其它程序设置->*\Temp\*


2012-12-04 20:48:36    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
文件路径:C:\WINDOWS\system32\MSVCRTD.DLL
触发规则:应用程序规则->TEMP临时文件夹（二）->*\Temp\*->%WinDir%\system32\*


2012-12-04 20:48:37    修改文件      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
文件路径:C:\WINDOWS\system32\MSVCRTD.DLL
触发规则:应用程序规则->TEMP临时文件夹（二）->?:\Documents and Settings\*\Local Settings\Temp\*\irsetup.exe->%WinDir%\system32\*.dll


2012-12-04 20:48:38    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
文件路径:C:\WINDOWS\system32\zlib1.exe
触发规则:应用程序规则->TEMP临时文件夹（二）->*\Temp\*->%WinDir%\system32\*


2012-12-04 20:48:38    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
文件路径:C:\WINDOWS\system32\zlib1org.dll
触发规则:应用程序规则->TEMP临时文件夹（二）->*\Temp\*->%WinDir%\system32\*


2012-12-04 20:48:39    修改文件      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
文件路径:C:\WINDOWS\system32\zlib1org.dll
触发规则:应用程序规则->TEMP临时文件夹（二）->?:\Documents and Settings\*\Local Settings\Temp\*\irsetup.exe->%WinDir%\system32\*.dll


2012-12-04 20:48:48    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
文件路径:C:\WINDOWS\system32\zlib1.dll
触发规则:应用程序规则->TEMP临时文件夹（二）->*\Temp\*->%WinDir%\system32\*


2012-12-04 20:48:48    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\_ir_sf7_temp_0\irsetup.exe
文件路径:C:\WINDOWS\system32\zlib1.dll
触发规则:应用程序规则->TEMP临时文件夹（二）->*\Temp\*->%WinDir%\system32\*

运行

2012-12-04 20:49:00    创建文件      操作:阻止
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system\RasMon.dat
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-12-04 20:49:00    创建文件      操作:阻止
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system\RasMon.dat
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-12-04 20:49:00    创建文件      操作:阻止
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system\RasMon.dat
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-12-04 20:49:00    创建文件      操作:阻止
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system\RasMon2.dat
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-12-04 20:49:00    创建文件      操作:阻止
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system\RasMon2.dat
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-12-04 20:49:00    创建文件      操作:阻止
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system\RasMon2.dat
触发规则:所有程序规则->WINDOWS默认目录设置->%windir%\system\*


2012-12-04 20:49:00    创建文件      操作:允许
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system32\logsysex.sep
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*


2012-12-04 20:49:00    创建文件      操作:允许
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:C:\WINDOWS\system32\huyhdc.hips
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*


2012-12-04 20:49:00    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\.Net CLReilgl
注册表名称:Start
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2012-12-04 20:49:00    安装服务或者驱动      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\System32\svchost.exe -k imgsvc
触发规则:所有程序规则->*


2012-12-04 20:49:01    注册表数据转储      操作:阻止
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
文件路径:\Device\HarddiskVolume1\Net-Temp.ini
触发规则:所有程序规则->*


2012-12-04 20:49:01    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\Program Files\KaiUnion Teah\456\StatReport.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
注册表名称:imgsvc
更改后:StiSvc
触发规则:所有程序规则->其他重要项->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT*

vm001 同学，试试360最新的 8.9beta。

CiInitialize

vm001 发表于 2012-12-4 20:04
不一定，如果这个文件删除的同时，服务没用添加就算成功拦截了

最新的8.9 BETA的ND秒杀这个。

vm001

CiInitialize 发表于 2012-12-5 00:45
最新的8.9 BETA的ND秒杀这个。

俺不会免杀..求一张ND拦截的截图，安慰下

zpforyou

不是已经杀了吗？

sevenday

白加黑真的很难防御

prawnliu

最新的8.9beta版可以拦截：


和XT放一起的截图


点击清除后，对应的svchost被阻断

vm001

prawnliu 发表于 2012-12-5 10:50
最新的8.9beta版可以拦截：

不错，有改进了