哥惨遭wgsdgsdgdsgsd.zip逆袭 2 / 46 不解释 （再加一个毒网地址，33楼EQ完整拦截

lbb9432

进毒网谷歌浏览器都拦截了

CIA

firefox3 发表于 2012-12-6 12:53
无图无真相 不是我说的哦

堵住你的   嘴

czs2635298

http://fireeye.ijinshan.com/analyse.html?md5=C5EDA2030BCFD7ACD1EA2462BD6FE4A9#full
火眼分析报告

llcy

真小读者

firefox3 发表于 2012-12-6 13:47
Exploit拦截无误，但是那个木马程序是怎么回事？真心搞不明白了

说微点弹窗上写的“发现木马”吗？微点弹窗上写的木马包含范围很广泛，基本上双击样本微点报的大多数都是木马

hddu

进一步测试，原来俺说重启后ruandll32加载wgsdgsdgdsgsd.dll 是错误的，向大家道歉，ruandll32

是加载临时文件夹的wlsidten.dll ，是通过启动项runctf.lnk加载的，查看runctf.lnk属性可知，

造成浏览器无法打开。

2012-12-06 15:48:53    创建文件      操作:允许
进程路径:C:\Program Files\Internet Explorer\iexplore.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\dat7.tmp
触发规则:应用程序规则->Temp临时文件夹（一）->?:\*->?:\Documents and Settings\*\Temp\*


2012-12-06 15:49:01    创建文件      操作:允许
进程路径:C:\WINDOWS\explorer.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\wlsidten.dll
触发规则:应用程序规则->Temp临时文件夹（一）->?:\*->?:\Documents and Settings\*\Temp\*


2012-12-06 15:49:15    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\runctf.lnk
触发规则:应用程序规则->rundll32设置->%windir%\system32\rundll32.exe->?:\Documents and Settings\*\*菜单\程序\启动\*


2012-12-06 15:49:26    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2012-12-06 15:49:27    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2012-12-06 15:49:29    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2012-12-06 15:49:31    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4
注册表名称:1609
触发规则:应用程序规则->系统程序(二)->%windir%\system32\rundll32.exe->*


2012-12-06 15:49:31    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2012-12-06 15:49:31    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*

jayavira

panda miss

coldwinter

weizuoliang

hddu 发表于 2012-12-6 15:07
开IE，进入毒网，结果。

2012-12-06 14:58:54    创建文件      操作:使用任务隔离区操作

你用的什么装备

蓝核

coldwinter 发表于 2012-12-6 19:19

毛豆要是能云杀毒的话就太厉害了。。。我记得毛豆对这种漏网毒反应很快