过360主防

vm001

---------来自爱毒霸----------

http://r.virscan.org/report/d4941a1e998197a35a40436db943ab53.html
衍生物

http://r.virscan.org/report/3775198a79e54b6c7e99e36c917202f1.html

http://fireeye.ijinshan.com/anal ... e53&type=1#full


2013-1-2 19:36:22    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\update\update.exe
命令行: "C:\Documents and Settings\Administrator\桌面\update\update.exe"
规则: [应用程序]*

2013-1-2 19:36:29    创建文件    允许
进程: c:\documents and settings\administrator\桌面\update\update.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\ole32.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2013-1-2 19:36:32    设置文件隐藏属性    允许
进程: c:\documents and settings\administrator\桌面\update\update.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\ole32.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2013-1-2 19:36:49    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\update\update.exe
目标: c:\windows\system32\regsvr32.exe
命令行: "C:\WINDOWS\system32\regsvr32.exe" /s "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ole32.dll
规则: [应用程序]*

2013-1-2 19:36:55    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\update\update.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c del "C:\Documents and Settings\Administrator\桌面\update\update.exe
规则: [应用程序]*

2013-1-2 19:36:57    访问COM接口    允许
进程: c:\windows\system32\regsvr32.exe
目标: {9BA05972-F6A8-11CF-A442-00A0C90A8F39} ShellWindows
规则: [应用程序]* -> [COM接口]{9BA05972-F6A8-11CF-A442-00A0C90A8F39}

2013-1-2 19:37:05    修改其他进程的内存    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2013-1-2 19:37:10    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\桌面\update\update.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-1-2 19:37:11    访问COM接口    允许
进程: c:\windows\system32\regsvr32.exe
目标: {9BA05972-F6A8-11CF-A442-00A0C90A8F39} ShellWindows
规则: [应用程序]* -> [COM接口]{9BA05972-F6A8-11CF-A442-00A0C90A8F39}

2013-1-2 19:37:25    修改其他进程的内存 (3)    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2013-1-2 19:37:27    在其他进程中创建线程    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

1073328164

卡巴拦截，特洛伊木马

萧逆水

avast blocked
衍生物倒是没杀

蓝天二号

微点

星晨

Bitdefender

zst470396853

母体  GD拦截下载

关闭GD的防护后下载   母体和衍生物 Q管KILL   360安全

3801187

DPT1

坐等QVM20

Ｍy↘じ★ve

这么明显的行为，怎么会过主防？肯定是白名单的问题

---

wqcaokeyinwq

蓝天二号 发表于 2013-1-2 20:00
微点

借哥们的帖子。。。补个双击效果图。、。