Detection ratio: 5 / 56 神网又出现了，诺顿声纳+SSF护航，结局是重装系统

墨家小子

kxmp 发表于 2016-3-19 19:02
没有把
运行了 都是加密 没别的

我都说了我没抓到那个dll，可不是没有么
要是抓到了我能重装吗你听明白了吧?

墨家小子

蓝核 发表于 2016-3-19 19:03
我就觉得最近国内的战斗力都好厉害……百度瑞星啥的

通用杀法，拉黑主防，能不厉害吗

shadowqs

墨家小子 发表于 2016-3-19 15:35
配置不行，不然我就试试BD ATC能不能拦截到对系统进程的注入，我另外一个帖子里截图显示eset是拦截到了ex ...

嗯。那我就继续用啦。继续等你更厉害的猛料

wzmcumt

nick20010117 发表于 2016-3-19 11:31
"";"IDP.SMP.13, C:%uSERS\ADMINISTRATOR\DESKTOP\TMP40E5\TMP40E5.EXE";"需要重新启动才能完成操作";"文件 ...

VSE?

nick20010117

wzmcumt 发表于 2016-3-19 22:06
VSE?

avg的主防IDP

AnonymousM

windows7爱好者 发表于 2016-3-19 17:56
他说没找到启动文件，也就是说那个东西自己 消失了

果然调用del命令删了、、、之前我误以为重启过

AnonymousM

墨家小子 发表于 2016-3-19 19:02
看了好几遍就是没找到可疑的，你看我截图，确实有个可疑的DLL混进来了，不过没抓到，目前该网页情绪冷静

网页我看了下，好像没动静啊、、、我是实机浏览器入沙访问的，卡巴也安静得很

dll的话、、、没看到

[mw_shl_code=css,true]
2016-3-19 23:11:51    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\tmp40e5.exe
命令行: "C:\Documents and Settings\Administrator\桌面\TMP40E5.exe"
规则: [应用程序]*

2016-3-19 23:12:41    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\tmp40e5.exe
目标: c:\documents and settings\administrator\桌面\tmp40e5.exe
命令行: "C:\Documents and Settings\Administrator\桌面\TMP40E5.exe"
规则: [应用程序]*

2016-3-19 23:13:21    创建文件    允许
进程: c:\documents and settings\administrator\桌面\tmp40e5.exe
目标: C:\Documents and Settings\Administrator\My Documents\ytjbrb.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016-3-19 23:14:15    设置文件隐藏属性    允许
进程: c:\documents and settings\administrator\桌面\tmp40e5.exe
目标: C:\Documents and Settings\Administrator\My Documents\ytjbrb.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016-3-19 23:14:30    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\tmp40e5.exe
目标: c:\documents and settings\administrator\my documents\ytjbrb.exe
命令行: "C:\Documents and Settings\Administrator\My Documents\ytjbrb.exe"
规则: [应用程序]*

2016-3-19 23:14:37    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\tmp40e5.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c DEL C:\DOCUME~1\ADMINI~1\桌面\TMP40E5.exe >> NUL
规则: [应用程序]*

2016-3-19 23:14:42    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]*

2016-3-19 23:14:50    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\桌面\TMP40E5.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2016-3-19 23:14:53    底层键盘操作    阻止
进程: c:\windows\system32\conime.exe
规则: [应用程序]*

2016-3-19 23:14:54    底层键盘操作    允许
进程: c:\windows\system32\conime.exe
规则: [应用程序]*

2016-3-19 23:15:07    创建新进程    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: c:\documents and settings\administrator\my documents\ytjbrb.exe
命令行: "C:\Documents and Settings\Administrator\My Documents\ytjbrb.exe"
规则: [应用程序]*

2016-3-19 23:15:20    修改注册表值    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\_fyng
值: C:\WINDOWS\SYSTEM32\CMD.EXE /C START C:\Documents and Settings\Administrator\My Documents\ytjbrb.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2016-3-19 23:15:36    删除注册表值    允许
进程: c:\windows\system32\ctfmon.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\internat.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2016-3-19 23:15:42    修改注册表值    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\EnableLinkedConnections
值: 0x00000001(1)
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\*

2016-3-19 23:15:54    访问网络    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: TCP [本机 : 1141] ->  [108.167.185.237 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-3-19 23:16:37    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome\content\history.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:16:39    访问网络    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: TCP [本机 : 1142] ->  [115.94.157.252 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-3-19 23:16:43    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_errorpage\content\ceerrorpage.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:16:50    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_ntab\content\backgroundPageThumbsContent.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:16:53    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_ntab\content\moa.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:16:55    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_ntab\content\ntabContent.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:16:57    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_ntab\content\overlay.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:16:58    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_ntab\content\preferences-sync.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:00    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_ntab\content\sendlink.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:02    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\chrome_ntab\content\sync-customize.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:06    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\components\aboutCEHome.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:07    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\components\aboutNTab.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:09    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\components\cehpUpdateParam.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:09    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\components\mozCNUtils.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:11    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\defaults\preferences\ntab.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:11    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\defaults\preferences\pref.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:14    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cehomepage@mozillaonline.com\module\json2.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:17    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\ceClearHistory.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:18    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\ceTracking-old.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:20    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\ceTracking.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:21    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\mozCNGuard.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:22    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\nsShellService.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:22    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\nsShellServiceStartup.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:24    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\nsUrlClassifierHashCompleter.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:24    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\components\nsUrlClassifierHashCompleterStartup.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:26    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\cpmanager-clv\components\cclv.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:27    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\defaults\preferences\cpmanager.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:28    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\defaults\preferences\improve.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:28    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\defaults\preferences\notification.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:35    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\defaults\preferences\safeflag.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:39    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\improve\content\bookmark\overlay-browser.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:44    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\improve\content\downloads\overlay-browser.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:17:49    修改文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\improve\content\downloads\overlay-unknownContentType.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:18:47    创建文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\_rEcOvEr_edqsm.png
规则: [文件组]自动运行程序所在位置 -> [文件]c:\documents and settings\administrator\「开始」菜单\程序\启动

2016-3-19 23:19:12    创建文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\_rEcOvEr_edqsm.txt
规则: [文件组]自动运行程序所在位置 -> [文件]c:\documents and settings\administrator\「开始」菜单\程序\启动

2016-3-19 23:20:11    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\verclsid.exe
命令行: /S /C {3F30C968-480A-4C6C-862D-EFC0897BB84B} /I {0000010B-0000-0000-C000-000000000046} /X 0x401
规则: [应用程序]*

2016-3-19 23:20:36    创建文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\_rEcOvEr_edqsm.html
规则: [文件组]自动运行程序所在位置 -> [文件]c:\documents and settings\administrator\「开始」菜单\程序\启动

2016-3-19 23:20:56    创建文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\All Users\「开始」菜单\程序\启动\_rEcOvEr_edqsm.png
规则: [文件组]自动运行程序所在位置 -> [文件]c:\documents and settings\all users\「开始」菜单\程序\启动

2016-3-19 23:21:13    创建文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\All Users\「开始」菜单\程序\启动\_rEcOvEr_edqsm.txt
规则: [文件组]自动运行程序所在位置 -> [文件]c:\documents and settings\all users\「开始」菜单\程序\启动

2016-3-19 23:21:16    创建文件    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: C:\Documents and Settings\All Users\「开始」菜单\程序\启动\_rEcOvEr_edqsm.html
规则: [文件组]自动运行程序所在位置 -> [文件]c:\documents and settings\all users\「开始」菜单\程序\启动

2016-3-19 23:21:42    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\verclsid.exe
命令行: /S /C {E84FDA7C-1D6A-45F6-B725-CB260C236066} /I {000214E8-0000-0000-C000-000000000046} /X 0x401
规则: [应用程序]*

2016-3-19 23:21:52    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\verclsid.exe
命令行: /S /C {E84FDA7C-1D6A-45F6-B725-CB260C236066} /I {00000122-0000-0000-C000-000000000046} /X 0x17
规则: [应用程序]*

2016-3-19 23:24:28    创建新进程    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: c:\windows\system32\rundll32.exe
命令行: "rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\Documents and Settings\Administrator\桌面\_rEcOvEr_edqsm.png
规则: [应用程序]*

2016-3-19 23:24:35    创建新进程    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: c:\windows\system32\notepad.exe
命令行: "C:\WINDOWS\system32\NOTEPAD.EXE" C:\Documents and Settings\Administrator\桌面\_rEcOvEr_edqsm.txt
规则: [应用程序]*

2016-3-19 23:24:40    向其他进程发送消息    允许
进程: c:\windows\system32\rundll32.exe
目标: c:\program files\microsoft bing pinyin\1.6.98.04\shared\bingimeplatform.exe
消息: WM_COPYDATA
规则: [应用程序]*

2016-3-19 23:25:32    创建新进程    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: c:\program files\mozilla firefox\firefox.exe
命令行: "C:\Program Files\Mozilla Firefox\firefox.exe"  -osint -url "C:\Documents and Settings\Administrator\桌面\_rEcOvEr_edqsm.html"
规则: [应用程序]*

2016-3-19 23:25:36    向其他进程发送消息    允许
进程: c:\windows\system32\notepad.exe
目标: c:\program files\microsoft bing pinyin\1.6.98.04\shared\bingimeplatform.exe
消息: WM_COPYDATA
规则: [应用程序]*

2016-3-19 23:25:43    访问网络    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: TCP [本机 : 1144] ->  [108.167.185.237 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-3-19 23:25:45    访问网络    允许
进程: c:\program files\mozilla firefox\firefox.exe
目标: TCP [本机 : 1146] ->  [127.0.0.1 : 1145]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-3-19 23:25:48    创建文件    允许
进程: c:\program files\mozilla firefox\firefox.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\Invalidprefs.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:25:50    创建文件    允许
进程: c:\program files\mozilla firefox\firefox.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\prefs-1.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:25:53    修改文件 (2)    允许
进程: c:\program files\mozilla firefox\firefox.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\prefs-1.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:25:54    创建文件    允许
进程: c:\program files\mozilla firefox\firefox.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\prefs.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:26:01    修改文件    允许
进程: c:\program files\mozilla firefox\firefox.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\tracking\modules\getExitCode.js
规则: [文件组]所有执行文件 -> [文件]*; *.js

2016-3-19 23:26:08    访问网络    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: TCP [本机 : 1148] ->  [115.94.157.252 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-3-19 23:26:17    修改文件    允许
进程: c:\program files\mozilla firefox\firefox.exe
目标: C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles\pkqa9y28.default\extensions\cpmanager@mozillaonline.com\chrome.manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2016-3-19 23:27:05    创建新进程    允许
进程: c:\documents and settings\administrator\my documents\ytjbrb.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c DEL C:\DOCUME~1\ADMINI~1\MYDOCU~1\ytjbrb.exe >> NUL  //不知道为什么，没删掉，进程倒是没了
规则: [应用程序]*[/mw_shl_code]

墨家小子

AnonymousM 发表于 2016-3-19 23:46
网页我看了下，好像没动静啊、、、我是实机浏览器入沙访问的，卡巴也安静得很

dll的话、、、没看到
...

入沙啊，注入什么的完全被沙盘隔绝了，当然会看不到啊

kxmp

lixihong10 发表于 2016-3-19 09:11
运行。过一会炸了

沙盘表示这东西会检测eset