自己制作的一枚。改图标。

minjiaming

ESET没杀

蓝天二号

费尔

fzypc40

2014-7-31 20:51:05        c:\windows\explorer.exe        创建新进程        c:\documents and settings\administrator\桌面\后会无期.exe        允许        [应用程序]c:\windows\explorer.exe        命令行: "C:\Documents and Settings\Administrator\桌面\后会无期.exe"
2014-7-31 20:51:05        c:\documents and settings\administrator\桌面\后会无期.exe        创建文件        C:\__tmp_rar_sfx_access_check_294328        阻止        [文件组]只读磁盘 -> [文件]c:\*       
2014-7-31 20:51:05        c:\documents and settings\administrator\桌面\后会无期.exe        修改注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup        阻止        [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*; Startup        值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
2014-7-31 20:51:05        c:\documents and settings\administrator\桌面\后会无期.exe        修改文件        \Device\NamedPipe\lsarpc        阻止        [文件组]命令管道 -> [文件]\device\namedpipe\*       
2014-7-31 20:51:05        c:\documents and settings\administrator\桌面\后会无期.exe        修改文件        \Device\NamedPipe\wkssvc        阻止        [文件组]命令管道 -> [文件]\device\namedpipe\*       
2014-7-31 20:51:05        c:\documents and settings\administrator\桌面\后会无期.exe        修改文件        \Device\NamedPipe\lsarpc        阻止        [文件组]命令管道 -> [文件]\device\namedpipe\*       
2014-7-31 20:51:05        c:\documents and settings\administrator\桌面\后会无期.exe        读文件夹        D:        阻止        [文件组]隐藏磁盘 -> [文件]d:\*       
2014-7-31 20:51:05        c:\documents and settings\administrator\桌面\后会无期.exe        读文件夹        D:\My Documents        阻止        [文件组]隐藏磁盘 -> [文件]d:\*       
2014-7-31 20:51:06        c:\documents and settings\administrator\桌面\后会无期.exe        修改文件        \Device\NamedPipe\lsarpc        阻止        [文件组]命令管道 -> [文件]\device\namedpipe\*       
2014-7-31 20:51:06        c:\documents and settings\administrator\桌面\后会无期.exe        修改文件        C:\WINDOWS\Debug\UserMode\userenv.log        阻止        [文件组]只读磁盘 -> [文件]c:\*       
2014-7-31 20:51:09        c:\documents and settings\administrator\桌面\后会无期.exe        创建新进程        c:\documents and settings\administrator\桌面\后会无期.exe        允许        [应用程序]*        命令行: "C:\Documents and Settings\Administrator\桌面\后会无期.exe" -el -s2 "-dC:\" "-p" "-sp"
修改注册表值？

hddu

2014-08-01 16:40:26    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\后会无期.exe
文件路径:C:\1.reg
触发规则:所有程序规则->白名单与黑名单->*\*.reg


2014-08-01 16:40:29    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\后会无期.exe
文件路径:C:\1.vbs
触发规则:所有程序规则->全局设置->%SystemDrive%\*


2014-08-01 16:40:29    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\后会无期.exe
文件路径:C:\1.bat
触发规则:所有程序规则->全局设置->%SystemDrive%\*


2014-08-01 16:40:30    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\后会无期.exe
文件路径:C:\1.ico
触发规则:所有程序规则->全局设置->%SystemDrive%\*


2014-08-01 16:40:30    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\后会无期.exe
文件路径:C:\WINDOWS\system32\wscript.exe
命令行:"C:\1.vbs"
触发规则:所有程序规则->系统程序设置->%windir%\system32\*script.exe


2014-08-01 16:40:34    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ""C:\1.bat" "
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.ico
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.ico
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.ico
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.ico
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.reg
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.reg
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.reg
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.reg
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\windows\1.reg
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->%windir%\*


2014-08-01 16:40:34    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\regedit.exe
命令行:-s C:\windows\1.reg
触发规则:高优先规则->运行reg文件设置->%windir%\regedit.exe


2014-08-01 16:40:35    运行应用程序      操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\ntsd.exe
命令行:-c q -pn explorer.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\ntsd.exe

cn86li

To Emsisoft

ticket number is 2014080111320001

It will be detected as Application.Hacktool.

File exe declared INFECTED