VT Detection ratio: 1 / 46 1803244.dll

消停

dbidbi 发表于 2013-4-22 15:55
都习惯了 诺顿么 过就过了。。。   敢问撸主是FIREFOX？

这类样本除了刚出来的时候过了几回诺顿之后诺顿就再没失过手！谁知现在竟然挥刀自宫了！

dbidbi

消停 发表于 2013-4-22 16:01
这类样本除了刚出来的时候过了几回诺顿之后诺顿就再没失过手！谁知现在竟然挥刀自宫了！

大趋势也过了。。。

消停

dbidbi 发表于 2013-4-22 16:04
大趋势也过了。。。

原来这类样本就诺顿和BD能有效防御（费尔也行），但现在诺顿自宫了！趋势是一直都不行！

hddu

2013-04-22 18:33:37    运行应用程序      操作:允许
进程路径:C:\WINDOWS\explorer.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:F:\virus\1803244\1803244.dll,k
触发规则:应用程序规则->系统程序->%windir%\Explorer.EXE->?:\*


2013-04-22 18:33:39    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
触发规则:应用程序规则->rundll32设置->%windir%\system32\rundll32.exe->%SystemDrive%\*.exe


2013-04-22 18:33:43    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
命令行:C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG00
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->*\*.exe


2013-04-22 18:33:44    创建文件      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\as98213.txt
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->?:\Documents and Settings\*\Application Data\*


2013-04-22 18:33:44    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
命令行:C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG01
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2013-04-22 18:33:44    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
命令行:C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG02
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2013-04-22 18:33:45    创建文件      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\dzroz6.js
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->?:\Documents and Settings\*\Application Data\*


2013-04-22 18:33:45    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
命令行:C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG03
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2013-04-22 18:33:46    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
命令行:C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG04
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2013-04-22 18:33:47    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
命令行:C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG06
触发规则:所有程序规则->Rundll32设置->*\rundll32.exe


2013-04-22 18:33:47    修改注册表内容      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:ctfmon.exe
更改后:C:\DOCUME~1\ALLUSE~1\APPLIC~1\rundll32.exe C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG00
更改前:C:\WINDOWS\system32\CTFMON.EXE
触发规则:应用程序规则->Documents and Settings设置->?:\Documents and Settings\*->*\Software\Microsoft\Windows\CurrentVersion\Run*


2013-04-22 18:33:49    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2013-04-22 18:33:49    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2013-04-22 18:33:49    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2013-04-22 18:33:49    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2013-04-22 18:33:49    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4
注册表名称:2500
触发规则:所有程序规则->IE浏览器设置->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones*


2013-04-22 18:33:49    创建文件      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\msconfig.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\启动*\*.lnk

2013-04-22 18:33:49    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:应用程序规则->程序->?:\*


2013-04-22 18:33:53    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
目标进程:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:所有程序规则->*


2013-04-22 18:33:57    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
目标进程:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:所有程序规则->*


2013-04-22 18:34:21    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\Program Files\Windows Media Player\wmplayer.exe
触发规则:应用程序规则->程序->?:\*


2013-04-22 18:34:27    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
目标进程:C:\Program Files\Windows Media Player\wmplayer.exe
触发规则:所有程序规则->*


2013-04-22 18:34:37    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
目标进程:C:\Program Files\Windows Media Player\wmplayer.exe
触发规则:所有程序规则->*

2013-04-22 18:35:03    运行应用程序      操作:阻止并结束进程
进程路径:C:\Documents and Settings\All Users\Application Data\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ALLUSE~1\APPLIC~1\6zorzd.dat,FG07
触发规则:所有程序规则->系统进程设置->%windir%\system32\rundll32.exe

sanhu35

跟上次的差不多，就是换了个路径

傻猪猪米走鸡

       
       
ESET SMART SECURITY
访问被拒绝
详细信息:
网页:        https://att.kafan.cn/forum.php?mo ... DI2NDk0MHwxNTUzNTE4
安全威胁：        Win32/Reveton.R 特洛伊木马
注释:        此网页的访问已被ESET Smart Security拦截。

       
        打开 ESET 知识库  |  www.eset.com         

墨家小子

消停 发表于 2013-4-22 13:13
诺顿每次更新很多原来能检测出来的样本就会变得检测不出来了！

这是为什么？

墨家小子

dbidbi 发表于 2013-4-22 15:55
都习惯了 诺顿么 过就过了。。。   敢问撸主是FIREFOX？

不是

消停

墨家小子 发表于 2013-4-23 11:43
这是为什么？

我回头找了很多原来sonar杀的dll，现在只要没入库基本都过sonar！

墨家小子

消停 发表于 2013-4-23 12:01
我回头找了很多原来sonar杀的dll，现在只要没入库基本都过sonar！

你跟官方说了没？这事必须痛哭流涕告诉他们