史上最恶心敲竹杠。没有之一。欢迎测试主防

tg123321

liulangzhecgr 发表于 2014-7-30 09:49
2014-7-30 09:38:05    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\downloads\测试6\精 ...

这种针对md的病毒千万不要允许加驱~我试试毛豆
禁止加驱后就这样了

hddu

014-07-30 13:50:45    运行应用程序      操作:允许
进程路径:C:\WINDOWS\explorer.exe
文件路径:C:\Documents and Settings\Administrator\桌面\精品软件\精品软件.exe
触发规则:应用程序规则->临时规则->*


2014-07-30 13:50:46    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\精品软件\精品软件.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:user Administrator 8891703945
触发规则:应用程序规则->临时规则->*


2014-07-30 13:50:46    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\net.exe
文件路径:C:\WINDOWS\system32\net1.exe
命令行:user Administrator 8891703945
触发规则:应用程序规则->临时规则->*


2014-07-30 13:50:46    修改注册表内容      操作:阻止
进程路径:C:\WINDOWS\system32\lsass.exe
注册表路径:HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account
注册表名称:F
触发规则:应用程序规则->系统程序(一)->%windir%\system32\lsass.exe->HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account


2014-07-30 13:50:46    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\精品软件\精品软件.exe
文件路径:C:\Documents and Settings\Administrator\桌面\精品软件\TailList.sys
触发规则:应用程序规则->临时规则->C:\Documents and Settings\Administrator\桌面\精品软件\精品软件.exe


2014-07-30 13:50:46    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList\Enum
注册表名称:[Key]
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:50:50    加载驱动程序      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动路径:C:\windows\system32\drivers\TailList.sys
触发规则:应用程序规则->临时规则->*


2014-07-30 13:50:51    修改注册表内容      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList
注册表名称:Start
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:50:53    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\精品软件\精品软件.exe
文件路径:C:\Documents and Settings\Administrator\桌面\精品软件\TailList.sys
触发规则:应用程序规则->临时规则->C:\Documents and Settings\Administrator\桌面\精品软件\精品软件.exe


2014-07-30 13:50:53    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList
注册表名称:[Key]
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:50:53    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList
注册表名称:Start
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:50:56    安装服务或者驱动      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\Documents and Settings\Administrator\桌面\精品软件\TailList.sys
触发规则:应用程序规则->临时规则->*


2014-07-30 13:50:57    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList
注册表名称:ImagePath
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:50:57    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList\Security
注册表名称:[Key]
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:50:57    创建注册表值      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList\Enum
注册表名称:[Key]
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:51:00    修改注册表内容      操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList
注册表名称:Start
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:51:00    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList\Enum
注册表名称:Count
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*


2014-07-30 13:51:00    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\TailList\Enum
注册表名称:NextInstance
触发规则:应用程序规则->系统程序(二)->%windir%\system32\services.exe->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*

liulangzhecgr

深山红叶__ 发表于 2014-7-30 10:30
应该是加驱的缘故吧，加驱后就很危险了，被干很正常…
昨天我没有细看，md被关闭后任意打开一个程序是不 ...

貌似重新打开md也很正常...

可能运行此样本无关的事吧？！
因md 造反，蓝屏而刚收拾完md 。要重新装md。。。

liulangzhecgr

hez2010 发表于 2014-7-30 11:24
加驱动前和加驱动后分别会改一次密码，很显然md没发现改密码的行为

我没有发现使用net命令的行为，也没有发现密码被修改...
可能是用组策略禁止运行系统盘的很多系统文件（包括net）的缘故？！

liulangzhecgr

tg123321 发表于 2014-7-30 13:53
这种针对md的病毒千万不要允许加驱~我试试毛豆
禁止加驱后就这样了

头一次是阻止，但这不好玩哦！后来就允许...

tg123321

liulangzhecgr 发表于 2014-7-30 14:13
头一次是阻止，但这不好玩哦！后来就允许...

任何hips一允许加驱就跪要不你去玩玩我刚发布的敲竹杠试试看

我身边的吃火

你忘了火绒。。。。。。。

我身边的吃火

你忘了火绒。。。。。。。

深山红叶__

liulangzhecgr 发表于 2014-7-30 14:08
貌似重新打开md也很正常...

可能运行此样本无关的事吧？！

没办法，一旦允许加驱，基本是等着跪了...
Anti_Locker 独立版已更新，来帮忙试试

安全无极限

从行为上看，未知程序加驱会被大多数安全软件阻止。一旦加驱，那就等着和安全软件同台肉搏了。