数字签名样本（2016.02.06）

ii88

FSCS detected all

天耀群星

2016/2/8 13:20:29    加载动态链接库 (2)    阻止
进程: c:\users\ljx\desktop\virus\未签名.exe
目标: c:\windows\system32\samcli.dll
规则: [应用程序组]待测试组-未知程序       ????? -> [动态链接库]c:\windows\system32\samcli.dll


2016/2/8 13:20:31    创建文件    阻止
进程: c:\users\ljx\desktop\virus\未签名.exe
目标: C:\Users\ljx\AppData\Local\Temp\B31A.tmp
规则: [应用程序组]待测试组-未知程序       ????? -> [应用程序]c:\users\ljx\desktop\virus\未签名.exe -> [文件]c:\users\ljx\appdata\local\temp\*

2016/2/8 13:20:34    修改文件    允许
进程: c:\users\ljx\desktop\virus\未签名.exe
目标: C:\aaa.bat
规则: [应用程序组]全局-命令行滤网  《二道滤网》  ————！！！ -> [文件组]秒杀-根目录可执行

2016/2/8 13:20:34    创建文件    阻止
进程: c:\users\ljx\desktop\virus\未签名.exe
目标: C:\Users\ljx\AppData\Local\Temp\BE71.tmp
规则: [应用程序组]待测试组-未知程序       ????? -> [应用程序]c:\users\ljx\desktop\virus\未签名.exe -> [文件]c:\users\ljx\appdata\local\temp\*

2016/2/8 13:20:34    修改其他进程的内存    允许
进程: c:\windows\system32\csrss.exe
目标: c:\users\ljx\desktop\virus\未签名.exe
规则: [应用程序]c:\windows\system32\csrss.exe

2016/2/8 13:20:53    创建新进程    允许
进程: c:\users\ljx\desktop\virus\未签名.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ""C:\aaa.bat" "C:\Users\ljx\Desktop\virus\未签名.exe""
规则: [应用程序组]全局-命令行滤网  《二道滤网》  ————！！！ -> [子应用程序]*



2016/2/8 13:20:53    向其他进程复制句柄    允许
进程: c:\windows\system32\conhost.exe
目标: c:\windows\system32\cmd.exe
句柄: (Event) 0x000000E8
规则: [应用程序组]★系统-系统程序组(WIN7系统)★ 5 -> [应用程序]c:\windows\system32\conhost.exe -> [目标应用程序]c:\windows\system32\cmd.exe

2016/2/8 13:20:53    修改其他进程的内存    允许
进程: c:\windows\system32\csrss.exe
目标: c:\windows\system32\cmd.exe
规则: [应用程序]c:\windows\system32\csrss.exe

2016/2/8 13:20:55    创建新进程    阻止并结束进程
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\format.com
命令行: format  C: /X/q/u/y
规则: [应用程序组]%系统程序-绝对禁运《防被木马利用》 -> [应用程序]c:\windows\system32\format.com

lixihong10

执行的 format.com。。。。

popu111

bd轻松撸光