天黑路滑，样本复杂，黑白不分，万物杀呀杀 全新wgsdgsdgdsgsd出场，携带的是一个dll

firefox3

hddu 发表于 2012-12-15 19:00
2012-12-15 13:35:29    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径: ...

辛苦了

冷眼剑客

keyaozhang 发表于 2012-12-14 21:16
过掉费尔的扫描
感谢测试组的大大指导了一下怎么测试dll病毒，下面是运行结果

费尔的动态防御就是给力

katatlove

可能时间比较久了

firefox3

katatlove 发表于 2012-12-15 22:58
可能时间比较久了

乱报呢，你看名字

foreverdyt

飞塔秒杀

hddu

rundll32.exe F:\virus\dllexp\dllexp.dll,exp

2012-12-16 01:32:28    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:dllexp
触发规则:应用程序规则->注册设置->%windir%\system32\regsvr32.exe->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

hddu

regsvr32.exe F:\virus\dllexp\dllexp.dll

2012-12-16 01:32:37    创建注册表值      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\regsvr32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:dllexp
触发规则:应用程序规则->注册设置->%windir%\system32\regsvr32.exe->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

hddu

2012-12-16 09:39:46    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:dllexp
触发规则:应用程序规则->注册设置->%windir%\system32\regsvr32.exe->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2012-12-16 09:39:50    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:"C:\Documents and Settings\Administrator\Application Data\dllexp.dll",exp
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%windir%\system32\rundll32.exe


2012-12-16 09:39:50    安装全局钩子      操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:F:\virus\dllexp\dllexp.dll
钩子类型:WH_SHELL
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->?:\*


2012-12-16 09:39:50    安装全局钩子      操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\Administrator\Application Data\dllexp.dll
钩子类型:WH_SHELL
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->?:\*


2012-12-16 09:39:50    运行应用程序      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%ProgramFiles%\Internet Explorer\iexplore.exe


2012-12-16 09:39:51    运行应用程序      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Program Files\Internet Explorer\iexplore.exe
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%ProgramFiles%\Internet
Explorer\iexplore.exe

最后一步拦截，非理想结果。

blacklist

hx1997 发表于 2012-12-14 21:26
Reveton 更新了...
俺是来看这个怎么运行的

按照你的方法试了，还是不能运行。来张截图吧！谢谢

hx1997

blacklist 发表于 2012-12-16 10:40
按照你的方法试了，还是不能运行。来张截图吧！谢谢

把图中的路径换成你自己 DLL 的路径