VT Detection ratio: 4 / 47 fvJcrgR.exe SSF诚意奉献全程解析高质量挂马

hddu

2013-09-13 20:51:44    运行应用程序      操作:允许
进程路径:F:\virus\fvJcrgR\fvJcrgR.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3639242.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*


2013-09-13 20:52:06    运行应用程序      操作:允许
进程路径:F:\virus\fvJcrgR\fvJcrgR.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*


2013-09-13 20:52:16    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->*


2013-09-13 20:52:18    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Application Data\Google
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Local Settings\Application Data\*


2013-09-13 20:52:19    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:Google Update
触发规则:应用程序规则->TEMP临时目录（二）->*\Temp\*->*\Software\Microsoft\Windows\CurrentVersion\Run*


2013-09-13 20:52:19    创建远程线程      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
目标进程:C:\WINDOWS\system32\services.exe
触发规则:所有程序规则->*


2013-09-13 20:52:19    修改注册表内容      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess
注册表名称:Start
触发规则:应用程序规则->XP 防火墙->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*


2013-09-13 20:52:20    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess
注册表名称:ErrorControl
触发规则:应用程序规则->XP 防火墙->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*


2013-09-13 20:52:20    修改注册表内容      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess
注册表名称:Start
触发规则:应用程序规则->XP 防火墙->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*


2013-09-13 20:52:20    创建注册表值      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess
注册表名称:DeleteFlag
触发规则:应用程序规则->XP 防火墙->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess*


2013-09-13 20:52:20    删除注册表      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Enum
注册表名称:[Key]
触发规则:应用程序规则->XP 防火墙->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*


2013-09-13 20:52:20    删除注册表      操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess
注册表名称:[Key]
触发规则:应用程序规则->XP 防火墙->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess*


2013-09-13 20:52:23    运行应用程序      操作:允许
进程路径:F:\virus\fvJcrgR\fvJcrgR.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\3674173.bat"       "f:\virus\fvjcrgr\fvjcrgr.exe"   "
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2013-09-13 20:52:24    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
文件路径:C:\Program Files\Google
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*


2013-09-13 20:52:27    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\fvjcrgr\FVJCRGR.EXE
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->?:\*


2013-09-13 20:52:28    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
文件路径:C:\Program Files\Google\Desktop
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*\uninstall.exe->%ProgramFiles%\*\*


2013-09-13 20:52:28    创建文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
文件路径:C:\Program Files\Google\Desktop\Install\{d65b69d4-2125-3f64-0905-046a499330fa}\   
触发规则:所有程序规则->白名单与黑名单->*\*\ *


2013-09-13 20:52:30    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\3645952.exe
文件路径:C:\WINDOWS\system32\cmd.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

SUNKESS

275751198

360 HEUR/Malware.QVM18.Gen
360 HEUR/Malware.QVM19.Gen
360 HEUR/Malware.QVM20.Gen