实验性作品 白加黑+锁屏 报价.zip

linkak

墨家小子 发表于 2013-5-8 19:49
你的ssf是选择全部询问吗？

嗯，全部询问+取消自动阻止可疑动作

青春虎

火绒，默认设置，提示两个行为，释放rundll32.exe，加载启动项

墨家小子

linkak 发表于 2013-5-8 19:52
嗯，全部询问+取消自动阻止可疑动作

你双击？

linkak

墨家小子 发表于 2013-5-8 19:58
你双击？

沙盘运行exe么

墨家小子

linkak 发表于 2013-5-8 20:00
沙盘运行exe么

我说你怎么没被锁屏呢

linkak

墨家小子 发表于 2013-5-8 20:09
我说你怎么没被锁屏呢

2013/5/8 20:18:11,C:\Windows\explorer.exe,53,Allowed ;启动一个应用程序 ("E:\sample\报价\报价\spy.exe" )
2013/5/8 20:18:15,E:\sample\报价\报价\spy.exe,53,Allowed ;启动一个应用程序 (C:\PROGRA~3\rundll32.exe C:\PROGRA~3\44nizd.dat,FG00)
2013/5/8 20:18:17,C:\PROGRA~3\rundll32.exe,53,Allowed ;启动一个应用程序 (C:\PROGRA~3\rundll32.exe C:\PROGRA~3\44nizd.dat,FG01)
2013/5/8 20:18:18,C:\PROGRA~3\rundll32.exe,53,Allowed ;启动一个应用程序 (C:\PROGRA~3\rundll32.exe C:\PROGRA~3\44nizd.dat,FG02)
2013/5/8 20:18:30,C:\PROGRA~3\rundll32.exe,41,Blocked ;修改关键文件或位置 (C:\Users\Saber\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\msconfig.lnk)
2013/5/8 20:18:32,C:\PROGRA~3\rundll32.exe,53,Allowed ;启动一个应用程序 (C:\PROGRA~3\rundll32.exe C:\PROGRA~3\44nizd.dat,FG03)
2013/5/8 20:18:34,C:\PROGRA~3\rundll32.exe,26,Blocked ;改变关键注册表项目 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,ctfmon.exe)
2013/5/8 20:18:37,C:\PROGRA~3\rundll32.exe,53,Allowed ;启动一个应用程序 (C:\PROGRA~3\rundll32.exe C:\PROGRA~3\44nizd.dat,FG04)
2013/5/8 20:18:38,C:\PROGRA~3\rundll32.exe,26,Blocked ;改变关键注册表项目 (HKCU\Software\Microsoft\Internet Explorer\Main,NoProtectedModeBanner)
2013/5/8 20:18:41,C:\PROGRA~3\rundll32.exe,53,Allowed ;启动一个应用程序 (C:\PROGRA~3\rundll32.exe C:\PROGRA~3\44nizd.dat,FG06)
2013/5/8 20:18:42,C:\PROGRA~3\rundll32.exe,53,Blocked ;启动一个应用程序 ("C:\Program Files\Internet Explorer\iexplore.exe")
影子下双击的拦截

墨家小子

linkak 发表于 2013-5-8 20:20
2013/5/8 20:18:11,C:\Windows\explorer.exe,53,Allowed ;启动一个应用程序 ("E:\sample\报价\报价\spy ...

纠结的就是没拦截到加载dll

fireold

Avira
開始掃描 'C:\Users\vardon\Downloads\报价\StormPlayer.dll'
C:\Users\vardon\Downloads\报价\StormPlayer.dll
  [偵測]        是 TR/Reveton.R.85 特洛伊木馬程式
  [注意]        檔案會移動至 '5670d5a1.qua' 名稱底下的隔離區目錄。

墨家小子

fireold 发表于 2013-5-8 20:37
Avira
開始掃描 'C:\Users\vardon\Downloads\报价\StormPlayer.dll'
C:\Users\vardon\Downloads\报价\St ...

双击一下会有惊喜

win98sp123

火绒双击后。。。。。。