DEL

蓝天二号

猎豹

sanhu35

2014/7/17 20:13:49    删除文件    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini
规则: [文件组]只读磁盘 -> [文件]c:\*

2014/7/17 20:13:49    删除文件    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: C:\Users\sanhu35\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini
规则: [文件组]只读磁盘 -> [文件]c:\*

2014/7/17 20:13:49    删除注册表项    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
规则: [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2014/7/17 20:13:49    修改注册表值    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe
值: C:\\Windows\\System32\\ctfmon.exe
规则: [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2014/7/17 20:13:49    删除注册表项    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL
规则: [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2014/7/17 20:13:49    创建新进程 (2)    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\Windows\system32\cmd.exe /c regini "C:\WINDOWS\recen.ini"
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

2014/7/17 20:13:49    修改注册表值    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
值: http://www.345ie.com/?64
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Internet explorer\Main; *Start Page*

2014/7/17 20:13:49    修改注册表值    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
值: http://www.345ie.com/?64
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Internet explorer\Main; Default_Page_URL

2014/7/17 20:13:49    修改注册表值    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\Start Page
值: http://www.345ie.com/?64
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Internet explorer\Main; *Start Page*

2014/7/17 20:13:49    修改注册表值    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\Default_Page_URL
值: http://www.345ie.com/?64
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Internet explorer\Main; Default_Page_URL

2014/7/17 20:13:50    创建新进程 (2)    阻止
进程: c:\users\sanhu35\desktop\del\del.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\Windows\system32\cmd.exe /c regini "C:\WINDOWS\recent.ini"
规则: [应用程序]* -> [子应用程序]『禁运』黑名单

2014/7/17 20:14:28    创建新进程    阻止
进程: c:\windows\system32\winlogon.exe
目标: c:\windows\system32\wlrmdr.exe
命令行: -s -1 -f 2 -t 您将要被注销 -m Windows 将在 2 分钟内关闭。

将在 2014年7月17日 20:15:54 时关闭。 -a 3
规则: [应用程序]*

猥琐大叔

275751198

深山红叶__ 发表于 2014-7-17 14:50
占楼待测
大师你终于上线了，怎么前段时间都不来发样本了？

放假啦，呵呵呵，不是大师，搬运工啦

折腾哥

蜘蛛双击灭

zjwzh11

费尔下载瞬秒