似乎是锁屏，来自诺顿论坛用户反馈

llq7104

llcy

火眼

hddu

墨家小子 发表于 2013-7-28 23:23
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\hardisk.exe

好像是小偷[ ...

测试样本过程中没有出现键盘记录操作，但进行其他操作时触发hardisk.exe进行键盘记录。

lifan88

墨家小子 发表于 2013-7-28 22:53

2013-7-29 13:24:48    创建新进程    允许
进程: d:\windows\explorer.exe
目标: d:\documents and settings\killleer\桌面\items2purchase.scr
命令行: "D:\Documents and Settings\killleer\桌面\items2purchase.scr" /S
规则: [应用程序]d:\windows\explorer.exe

2013-7-29 13:24:50    创建文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF3E7B.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:24:51    读文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF3E7B.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:24:52    修改文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF3E7B.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:24:55    读文件 (3)    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-7-29 13:24:58    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: d:\windows\system32\taskkill.exe
命令行: taskkill /im openv.exe /f
规则: [应用程序]*

2013-7-29 13:25:10    加载动态链接库    阻止并结束进程
进程: d:\windows\system32\taskkill.exe
目标: d:\windows\apppatch\acgenral.dll
规则: [应用程序]*

2013-7-29 13:25:23    修改注册表值    阻止
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup
值: D:\Documents and Settings\All Users\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2013-7-29 13:25:54    修改注册表值    阻止
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: D:\Documents and Settings\killleer\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2013-7-29 13:26:20    创建文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\「开始」菜单\程序\启动\hardisk.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-7-29 13:26:21    读文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\「开始」菜单\程序\启动\hardisk.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-7-29 13:26:23    读文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\桌面\items2purchase.scr
规则: [文件组]所有执行文件 -> [文件]*; *.scr

2013-7-29 13:26:25    读文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\「开始」菜单\程序\启动\hardisk.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-7-29 13:26:28    创建文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\Local Settings\Temp\Listofproduct.txt
规则: [文件组]所有执行文件 -> [文件]*; *.txt

2013-7-29 13:26:29    读文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\Local Settings\Temp\Listofproduct.txt
规则: [文件组]所有执行文件 -> [文件]*; *.txt

2013-7-29 13:26:33    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: d:\windows\system32\cmd.exe
命令行: cmd.exe /c D:\DOCUME~1\killleer\LOCALS~1\Temp\Listofproduct.txt
规则: [应用程序]*

2013-7-29 13:26:35    读文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\「开始」菜单\程序\启动\hardisk.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-7-29 13:26:40    读文件    允许
进程: d:\windows\system32\cmd.exe
目标: D:\Documents and Settings\killleer\Local Settings\Temp\Listofproduct.txt
规则: [文件组]所有执行文件 -> [文件]*; *.txt

2013-7-29 13:26:44    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
命令行: "D:\Documents and Settings\killleer\「开始」菜单\程序\启动\hardisk.exe"
规则: [应用程序]*

2013-7-29 13:26:50    创建文件    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF1397.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:26:52    读文件    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF1397.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:26:54    修改文件    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF1397.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:27:03    读文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF3E7B.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:27:05    读文件    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-7-29 13:27:07    删除文件    允许
进程: d:\documents and settings\killleer\桌面\items2purchase.scr
目标: D:\Documents and Settings\killleer\Local Settings\Temp\~DF3E7B.tmp
规则: [文件组]所有执行文件 -> [文件]*; *.tmp

2013-7-29 13:27:14    读文件    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-7-29 13:27:17    读文件    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-7-29 13:27:21    创建新进程    阻止
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: d:\windows\system32\taskkill.exe
命令行: taskkill /im openv.exe /f
规则: [应用程序]*

2013-7-29 13:27:24    创建新进程    允许
进程: d:\windows\system32\cmd.exe
目标: d:\windows\system32\notepad.exe
命令行: "D:\WINDOWS\system32\NOTEPAD.EXE" D:\DOCUME~1\killleer\LOCALS~1\Temp\Listofproduct.txt
规则: [应用程序]*

2013-7-29 13:27:27    读文件    允许
进程: d:\windows\system32\notepad.exe
目标: D:\Documents and Settings\killleer\Local Settings\Temp\Listofproduct.txt
规则: [文件组]所有执行文件 -> [文件]*; *.txt

2013-7-29 13:27:58    修改注册表值    阻止
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup
值: D:\Documents and Settings\All Users\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2013-7-29 13:28:43    修改注册表值    阻止
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: D:\Documents and Settings\killleer\「开始」菜单\程序\启动
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Shell Folders; *Startup

2013-7-29 13:29:02    访问网络    阻止
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: UDP [本机 : 1443] ->  [127.0.0.1 : 1443]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-7-29 13:29:05    读文件 (3)    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-7-29 13:29:08    读文件 (3)    允许
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-7-29 13:29:25    底层键盘操作 (4)    阻止
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
规则: [应用程序]*

2013-7-29 13:29:26    底层键盘操作    阻止并结束进程
进程: d:\documents and settings\killleer\「开始」菜单\程序\启动\hardisk.exe
规则: [应用程序]*

liping1994

真小读者

程序：
E:\我的下载\ITEMS2PURCHASE.SCR
木马程序生成以下文件：
1) C:\USERS\ICE_YI_FAIRY\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\HARDISK.EXE
是否删除木马程序及其衍生物?

bossoftheworld