收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 很流氓，过火绒主防！！
12345678下一页
返回列表 发新帖
楼主: F-Secure
 收起左侧

[可疑文件] 很流氓，过火绒主防！！

  [复制链接]
学雷锋做人
头像被屏蔽
发表于 2016-3-14 17:35:50 | 显示全部楼层
本帖最后由 学雷锋做人 于 2016-3-14 17:42 编辑

自己写的小工具，简单的拦截记录：
[mw_shl_code=css,true][2016年3月14日17时31分56秒]
操作行为=试图修改文件属性
文件路径=C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
您选择=允许
[2016年3月14日17时31分57秒]
操作行为=试图写入注册表项
文本信息=Directory
您选择=阻止
[2016年3月14日17时31分58秒]
操作行为=试图写入注册表项
文本信息=CacheLimit
您选择=阻止
[2016年3月14日17时31分59秒]
操作行为=试图修改文件属性
文件路径=C:\Documents and Settings\Administrator\Local Settings\History
您选择=允许
[2016年3月14日17时32分1秒]
操作行为=试图修改文件属性
文件路径=C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\
您选择=允许
[2016年3月14日17时32分2秒]
操作行为=试图创建新文件
文件路径=C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\index.dat
您选择=允许
[2016年3月14日17时32分3秒]
操作行为=试图修改文件属性
文件路径=C:\Documents and Settings\Administrator\Cookies\
您选择=允许
[2016年3月14日17时32分5秒]
操作行为=试图创建新文件
文件路径=C:\Documents and Settings\Administrator\Cookies\index.dat
您选择=允许
[2016年3月14日17时32分6秒]
操作行为=试图创建新文件
文件路径=C:\Documents and Settings\Administrator\Cookies\index.dat
您选择=允许
[2016年3月14日17时32分7秒]
操作行为=试图修改文件属性
文件路径=C:\Documents and Settings\Administrator\Local Settings\History\History.IE5\
您选择=允许
[2016年3月14日17时32分8秒]
操作行为=试图创建新文件
文件路径=C:\Documents and Settings\Administrator\Local Settings\History\History.IE5\index.dat
您选择=允许
[2016年3月14日17时32分10秒]
操作行为=试图创建新文件
文件路径=C:\Documents and Settings\Administrator\Local Settings\History\History.IE5\index.dat
您选择=允许
[2016年3月14日17时32分11秒]
操作行为=试图修改文件属性
文件路径=C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\
您选择=允许
[2016年3月14日17时32分13秒]
操作行为=试图修改文件属性
文件路径=C:\Documents and Settings\Administrator\Local Settings\History\History.IE5\
您选择=允许
[2016年3月14日17时32分14秒]
操作行为=试图创建新文件
文件路径=21.tmp
您选择=允许
[2016年3月14日17时32分15秒]
操作行为=试图写入注册表项
文本信息=MigrateProxy
您选择=阻止
[2016年3月14日17时32分16秒]
操作行为=试图写入注册表项
文本信息=ProxyEnable
您选择=阻止
[2016年3月14日17时32分17秒]
操作行为=试图删除注册表值
文本信息=ProxyServer
您选择=允许
[2016年3月14日17时32分21秒]
操作行为=试图删除注册表值
文本信息=ProxyOverride
您选择=允许
[2016年3月14日17时32分22秒]
操作行为=试图写入注册表项
文本信息=ProxyEnable
您选择=阻止
[2016年3月14日17时32分24秒]
操作行为=试图创建新文件
文本信息=SavedLegacySettings
您选择=允许
文件路径=\\.\Ip
[2016年3月14日17时32分33秒]
操作行为=试图删除文件
文件路径=21.tmp
您选择=允许
[2016年3月14日17时32分36秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时32分41秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\21.tmp
您选择=允许
[2016年3月14日17时32分42秒]
操作行为=试图创建新进程
命令行=V8._85296_20150814221218.exe
您选择=阻止
[2016年3月14日17时32分46秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时32分48秒]
操作行为=试图创建新文件
文件路径=Browser_V5.5.7852.9_r_4640_(Build1512022057).exe
您选择=阻止
[2016年3月14日17时32分51秒]
操作行为=试图删除文件
文件路径=Browser_V5.5.7852.9_r_4640_(Build1512022057).exe
您选择=阻止
[2016年3月14日17时32分53秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时32分54秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Browser_V5.5.7852.9_r_4640_(Build1512022057).exe
您选择=阻止
[2016年3月14日17时32分56秒]
操作行为=试图创建新进程
命令行=Browser_V5.5.7852.9_r_4640_(Build1512022057).exe
您选择=阻止
[2016年3月14日17时32分57秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时32分59秒]
操作行为=试图创建新文件
文件路径=1332280.exe
您选择=阻止
[2016年3月14日17时33分2秒]
操作行为=试图删除文件
文件路径=1332280.exe
您选择=阻止
[2016年3月14日17时33分4秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时33分8秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\1332280.exe
您选择=允许
[2016年3月14日17时33分11秒]
操作行为=试图创建新进程
命令行=1332280.exe
您选择=阻止
[2016年3月14日17时33分12秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时33分13秒]
操作行为=试图创建新文件
文件路径=24.tmp
您选择=允许
[2016年3月14日17时33分16秒]
操作行为=试图删除文件
文件路径=24.tmp
您选择=允许
[2016年3月14日17时33分17秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时33分18秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\24.tmp
您选择=允许
[2016年3月14日17时33分19秒]
操作行为=试图创建新进程
命令行=kinst_168_24.exe
您选择=阻止
[2016年3月14日17时33分20秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时33分22秒]
操作行为=试图创建新文件
文件路径=25.tmp
您选择=允许
[2016年3月14日17时33分25秒]
操作行为=试图删除文件
文件路径=25.tmp
您选择=允许
[2016年3月14日17时33分26秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时33分27秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\25.tmp
您选择=允许
[2016年3月14日17时33分28秒]
操作行为=试图创建新进程
命令行=qt_mvc.exe
您选择=阻止
[2016年3月14日17时33分30秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Base64.dll
您选择=允许
[2016年3月14日17时34分3秒]
操作行为=试图创建新进程
命令行="C:\Program Files\Internet Explorer\iexplore.exe"  -nohome
您选择=阻止
[2016年3月14日17时34分42秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时34分44秒]
操作行为=试图创建新文件
文件路径=26.tmp
您选择=允许
[2016年3月14日17时34分48秒]
操作行为=试图删除文件
文件路径=26.tmp
您选择=允许
[2016年3月14日17时34分49秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时34分50秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\26.tmp
您选择=允许
[2016年3月14日17时34分51秒]
操作行为=试图创建新进程
命令行=kuwo_jm613.exe
您选择=阻止
[2016年3月14日17时34分52秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时34分53秒]
操作行为=试图创建新文件
文件路径=Baidu_Setup_2.2.200.1470_ftn_1050123299.exe
您选择=阻止
[2016年3月14日17时34分54秒]
操作行为=试图删除文件
文件路径=Baidu_Setup_2.2.200.1470_ftn_1050123299.exe
您选择=阻止
[2016年3月14日17时34分55秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时34分56秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Baidu_Setup_2.2.200.1470_ftn_1050123299.exe
您选择=阻止
[2016年3月14日17时34分57秒]
操作行为=试图创建新进程
命令行=Baidu_Setup_2.2.200.1470_ftn_1050123299.exe
您选择=阻止
[2016年3月14日17时34分58秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时35分]
操作行为=试图创建新文件
文件路径=28.tmp
您选择=允许
[2016年3月14日17时35分3秒]
操作行为=试图删除文件
文件路径=28.tmp
您选择=允许
[2016年3月14日17时35分4秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时35分5秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\28.tmp
您选择=允许
[2016年3月14日17时35分6秒]
操作行为=试图创建新进程
命令行=install1078565.exe
您选择=阻止
[2016年3月14日17时35分7秒]
操作行为=试图创建新文件
文件路径=XMPSetupLite-Sljhaqws56.exe
您选择=阻止
[2016年3月14日17时35分8秒]
操作行为=试图删除文件
文件路径=XMPSetupLite-Sljhaqws56.exe
您选择=允许
[2016年3月14日17时35分10秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时35分11秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\XMPSetupLite-Sljhaqws56.exe
您选择=允许
[2016年3月14日17时35分13秒]
操作行为=试图创建新进程
命令行=XMPSetupLite-Sljhaqws56.exe /S
您选择=阻止
[2016年3月14日17时35分14秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时35分15秒]
操作行为=试图创建新文件
文件路径=30.tmp
您选择=允许
[2016年3月14日17时35分18秒]
操作行为=试图删除文件
文件路径=30.tmp
您选择=允许
[2016年3月14日17时35分20秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时35分22秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\30.tmp
您选择=允许
[2016年3月14日17时35分23秒]
操作行为=试图创建新文件
命令行=lt_Y_shen1_29.exe
您选择=允许
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
[2016年3月14日17时35分25秒]
操作行为=试图创建新文件
文件路径=31.tmp
您选择=允许
[2016年3月14日17时35分27秒]
操作行为=试图删除文件
文件路径=31.tmp
您选择=允许
[2016年3月14日17时35分28秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时35分29秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\31.tmp
您选择=允许
[2016年3月14日17时35分30秒]
操作行为=试图创建新文件
命令行=SoHuVA_4.5.77.0-c207715-nti-ng-tp-s.exe
您选择=允许
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
[2016年3月14日17时35分32秒]
操作行为=试图创建新文件
文件路径=
您选择=允许
[2016年3月14日17时35分45秒]
操作行为=试图创建新文件
文件路径=SendRequest Error
您选择=允许
[2016年3月14日17时35分48秒]
操作行为=试图删除文件
文件路径=SendRequest Error
您选择=允许
[2016年3月14日17时35分49秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\
您选择=允许
[2016年3月14日17时35分50秒]
操作行为=试图创建新进程
命令行=
您选择=阻止
[2016年3月14日17时35分52秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时35分53秒]
操作行为=试图创建新文件
文件路径=
您选择=允许
[2016年3月14日17时35分57秒]
操作行为=试图创建新文件
文件路径=URL Parts Error
您选择=阻止
[2016年3月14日17时35分58秒]
操作行为=试图删除文件
文件路径=URL Parts Error
您选择=允许
[2016年3月14日17时36分]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时36分1秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\
您选择=允许
[2016年3月14日17时36分2秒]
操作行为=试图创建新进程
命令行=
您选择=阻止
[2016年3月14日17时36分3秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时36分4秒]
操作行为=试图创建新文件
文件路径=URL Parts Error
您选择=阻止
[2016年3月14日17时36分5秒]
操作行为=试图删除文件
文件路径=URL Parts Error
您选择=阻止
[2016年3月14日17时36分6秒]
操作行为=试图创建新文件
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=阻止
[2016年3月14日17时36分10秒]
操作行为=试图修改文件属性
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\2.ico
您选择=允许
[2016年3月14日17时36分12秒]
操作行为=试图修改文件属性
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Base64.dll
您选择=允许
[2016年3月14日17时36分13秒]
操作行为=试图修改文件属性
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\Inetc.dll
您选择=允许
[2016年3月14日17时36分14秒]
操作行为=试图修改文件属性
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\System.dll
您选择=允许
[2016年3月14日17时36分15秒]
操作行为=试图修改文件属性
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\ZipDLL.dll
您选择=允许
[2016年3月14日17时36分16秒]
操作行为=试图修改文件属性
文件路径=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\
您选择=允许
[2016年3月14日17时36分17秒]
操作行为=试图删除文件目录
文本目录=C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsm4.tmp\
您选择=允许[/mw_shl_code]
回复

举报

tianma_h
发表于 2016-3-14 18:13:50 | 显示全部楼层
红伞miss。
回复

举报

iduserid
发表于 2016-3-14 21:01:02 | 显示全部楼层
安全软件的日志一大堆，大家都是爱瞧日志的人？
回复

举报

星云劫
发表于 2016-3-14 23:30:24 | 显示全部楼层
windows7爱好者 发表于 2016-3-13 18:34
里面附带了11个安装包，我已经可以想象我允许后会是怎样的可怕景象了

传说中的人脑启发，手动防火墙那如果用的是智能防火墙的自动模式遇到这一类是不是会直接挂，还是说防火墙会有能力分辨这种东西。
回复

举报

星云劫
发表于 2016-3-14 23:33:27 | 显示全部楼层
ericdj 发表于 2016-3-13 20:04
GD
算是部分block吧……
最后合适还是安装了QQ浏览器

小白表示英文版看不懂，弹窗的是主防还是智能防火墙。
回复

举报

星云劫
发表于 2016-3-14 23:38:22 | 显示全部楼层
siss 发表于 2016-3-14 15:27
spyshelter被过（中间所有选项都选择终止选项）。被安装了，qq浏览器，剑雨江湖（游戏），uc浏览器，酷我音 ...

这些软件是不是都没有卸载选项的修改版
回复

举报

ericdj
发表于 2016-3-15 00:14:20 | 显示全部楼层
星云劫 发表于 2016-3-14 23:33
小白表示英文版看不懂，弹窗的是主防还是智能防火墙。

主防
回复

举报

windows7爱好者
发表于 2016-3-15 13:01:29 | 显示全部楼层
星云劫 发表于 2016-3-14 23:30
传说中的人脑启发，手动防火墙那如果用的是智能防火墙的自动模式遇到这一类是不是会直接挂，还是说 ...

只要选择为可信的程序自动创建规则，就可以避免过多的弹窗，不在杀软白名单里的就会提醒
回复

举报

星云劫
发表于 2016-3-15 13:20:55 | 显示全部楼层
windows7爱好者 发表于 2016-3-15 13:01
只要选择为可信的程序自动创建规则，就可以避免过多的弹窗，不在杀软白名单里的就会提醒

看到你一直用大蜘蛛好像很厉害的样子，然后那个是大蜘蛛的防火墙吗？你是不是完全设置为手动。
回复

举报

windows7爱好者
发表于 2016-3-15 14:04:59 | 显示全部楼层
星云劫 发表于 2016-3-15 13:20
看到你一直用大蜘蛛好像很厉害的样子，然后那个是大蜘蛛的防火墙吗？你是不是完全设置为手动。[:31 ...

不是，默认设置，为可信程序自动创建规则
回复

举报

下一页 »
12345678下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-5-16 08:40 , Processed in 0.088545 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表