Rookit

1446547521

蓝天二号 发表于 2016-1-29 12:46
下载就隔离了。。。

可以排除

Aizen_sama

幾乎都偵測的到 不好玩

1446547521

Aizen_sama 发表于 2016-1-29 20:14
幾乎都偵測的到 不好玩

要双击

卡卡卡卡卡用户

瑞星竟然扫描不出来。。

轩夏

Dr.Web
Adware.Downware.932

lifan88

MD党给双击党提供下动作

lifan88

有动作。。不知道为何那个USERINIT修改失败了。。。难道是虚拟机的缘故？

lifan88

2016-2-1 18:43:54    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\new samples\rootit\机器狗病毒.exe
命令行: "C:\Documents and Settings\Administrator\桌面\new samples\Rootit\机器狗病毒.exe"
规则: [应用程序]c:\windows\explorer.exe

2016-2-1 18:43:55    读文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\rootit\机器狗病毒.exe
目标: C:\Documents and Settings\Administrator\桌面\new samples\Rootit\机器狗病毒.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016-2-1 18:43:56    创建文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\rootit\机器狗病毒.exe
目标: C:\WINDOWS\system32\drivers\pcihdd.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2016-2-1 18:43:58    安装驱动程序或服务    允许
进程: c:\documents and settings\administrator\桌面\new samples\rootit\机器狗病毒.exe
目标: C:\WINDOWS\system32\drivers\pcihdd.sys
规则: [应用程序]*

2016-2-1 18:43:59    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PciHdd
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2016-2-1 18:44:02    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PciHdd\Start
值: 0x00000003(3)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2016-2-1 18:44:03    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PciHdd\ImagePath
值: \??\C:\WINDOWS\system32\drivers\pcihdd.sys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

2016-2-1 18:44:49    加载驱动程序    允许
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\drivers\pcihdd.sys
规则: [应用程序]c:\windows\system32\services.exe

2016-2-1 18:44:51    删除文件    允许
进程: c:\documents and settings\administrator\桌面\new samples\rootit\机器狗病毒.exe
目标: C:\WINDOWS\system32\drivers\pcihdd.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2016-2-1 18:44:53    底层磁盘读操作    允许
进程: c:\documents and settings\administrator\桌面\new samples\rootit\机器狗病毒.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2016-2-1 18:44:56    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PciHdd\Start
值: 0x00000004(4)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2016-2-1 18:44:57    删除注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PciHdd
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services