【挖坟挖到好东西】求实机HIPS党看下行为（反虚拟机）！扫描挡有兴趣拿去玩玩

lifan88

liulangzhecgr 发表于 2015-1-2 20:06
2015-1-2 19:57:56    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\downloads\测试6\疑 ...

纳尼？动作怎么。。。。。。。。。。

liulangzhecgr

lifan88 发表于 2015-1-2 20:09
纳尼？动作怎么。。。。。。。。。。

无关紧要的都删除掉...




MD 日志为...

2015-1-2 19:57:56    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
命令行: "F:\downloads\测试6\疑似火焰VIRUS\疑似火焰VIRUS.exe"
规则: [应用程序]*

2015-1-2 19:58:00    创建文件    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: C:\WINDOWS\system32\LL
规则: [文件]*

2015-1-2 19:58:54    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表]*

2015-1-2 19:58:58    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表]*

2015-1-2 19:59:06    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表]*

2015-1-2 19:59:12    修改文件    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2015-1-2 19:59:18    修改文件    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2015-1-2 19:59:20    修改文件    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: \Device\NamedPipe\ROUTER
规则: [文件]*

2015-1-2 19:59:25    修改文件 (2)    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2015-1-2 19:59:30    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [注册表]*

2015-1-2 19:59:33    修改文件 (2)    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2015-1-2 19:59:37    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [注册表]*

2015-1-2 19:59:41    修改文件    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2015-1-2 19:59:43    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [注册表]*

2015-1-2 19:59:47    删除注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [注册表]*

2015-1-2 19:59:51    删除注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [注册表]*

2015-1-2 19:59:59    删除注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
规则: [注册表]*

2015-1-2 20:00:09    修改注册表值    阻止
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
值: 46 00 00 00 de 26 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 50 5a 28 a3 35 29 cf 01 00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 02 00 00 00 7f 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
规则: [注册表]*

2015-1-2 20:00:14    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:22    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: UDP [本机 : 3684] ->  [127.0.0.1 : 3684]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:00:28    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:32    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:35    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:39    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:42    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:46    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:51    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [注册表]*

2015-1-2 20:00:54    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [注册表]*

2015-1-2 20:00:59    删除注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [注册表]*

2015-1-2 20:01:02    删除注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [注册表]*

2015-1-2 20:01:04    删除注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
规则: [注册表]*

2015-1-2 20:01:08    修改注册表值    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
值: 46 00 00 00 de 26 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 50 5a 28 a3 35 29 cf 01 00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 02 00 00 00 7f 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
规则: [注册表]*

2015-1-2 20:01:18    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 4525] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:01:50    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 4988] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:02:16    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 1494] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:02:47    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 1870] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:03:17    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 2311] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:03:44    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 2739] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:04:13    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 3140] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:04:37    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 3579] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:05:01    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 3933] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:05:26    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 4289] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:05:51    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 4624] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 20:06:31    访问网络    允许
进程: f:\downloads\测试6\疑似火焰virus\疑似火焰virus.exe
目标: TCP [本机 : 4999] ->  [202.98.24.124 : 8087]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

paul_guo

GD啥的

lifan88

liulangzhecgr 发表于 2015-1-2 20:18
无关紧要的都删除掉...

还是没看到重要行为啊啊啊啊

lifan88

liulangzhecgr 发表于 2015-1-2 20:18
无关紧要的都删除掉...

http://bbs.kafan.cn/thread-1284871-3-1.html就是这个帖子的。。唉，这个貌似只是个普通的下载器罢了。。。不过它下载FLAME VIRUS貌似

liulangzhecgr

lifan88 发表于 2015-1-2 20:27
还是没看到重要行为啊啊啊啊

呵呵！可能RP问题...

幽冥の龙

改了下虚拟机设置成功在虚拟机里跑起来了，但行为的确只有 不停联网……
应该是下载的目标失效了吧

lifan88

幽冥の龙 发表于 2015-1-2 20:32
改了下虚拟机设置成功在虚拟机里跑起来了，但行为的确只有 不停联网……
应该是下载的目标失效了吧

他下载的东西是FLAME VIRUS

幽冥の龙

lifan88 发表于 2015-1-2 20:37
他下载的东西是FLAME VIRUS

B超分析出来的下载网址是 hXXp://www.cdvolvo.com:8087/list7.txt
不过我尝试用迅雷下载这个连接也失败了→_→

lifan88

liulangzhecgr 发表于 2015-1-2 20:30
呵呵！可能RP问题...

你还记得上面那篇帖子么