首次进入神网 ！

liulangzhecgr

系统：win7 X32 +基本用户运行系统

因曾经在进神网等了叫几天也不见天日...今天没啥事进去看，也不抱什么希望！

2016/4/26 09:50:24    访问COM接口    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: {00000000-0000-0000-0000-000000000000}
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

2016/4/26 09:50:35    创建新进程    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\system32\conhost.exe
命令行: C:\Windows\system32\conhost.exe
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

MD监控到此时，貌似感觉神网发起作用！

2016/4/26 09:50:47    向其他进程复制句柄    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\system32\conhost.exe
句柄: (Process) c:\program files\internet explorer\iexplore.exe
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

2016/4/26 09:50:48    创建新进程    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\system32\taskhost.exe
命令行: C:\Windows\system32\taskhost.exe
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

2016/4/26 09:50:48    向其他进程发送消息    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\explorer.exe
消息: WM_QUERYDRAGICON
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

2016/4/26 09:50:48    创建新进程    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\explorer.exe
命令行: C:\Windows\explorer.exe
规则: [应用程序]c:\windows\explorer.exe

2016/4/26 09:50:48    在其他进程中创建线程    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\explorer.exe
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

2016/4/26 09:50:49    修改其他进程的内存    阻止
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\explorer.exe
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

以上的行为并不是本人意愿哦！ 因删除组策略规则的这一段时间内 MD默认（？！）阻止这些行为的？！。

2016/4/26 09:51:29    创建文件    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: C:\Users\yiqing\AppData\LocalLow\{F5323196-BCC3-42C5-B6A0-91A13B634BCB}\wpccpl91.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2016/4/26 09:51:43    创建新进程    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\windows\system32\regsvr32.exe
命令行: regsvr32.exe -s "C:\Users\yiqing\AppData\LocalLow\{F5323196-BCC3-42C5-B6A0-91A13B634BCB}\wpccpl91.dll"
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

2016/4/26 09:51:57    创建新进程    允许
进程: c:\windows\system32\regsvr32.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\Windows\\system32\rundll32.exe C:\Users\yiqing\AppData\LocalLow\{F5323~1\wpccpl91.dll,Working
规则: [应用程序]*

2016/4/26 09:52:11    创建新进程    允许
进程: c:\windows\system32\rundll32.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\Windows\\system32\rundll32.exe C:\Users\yiqing\AppData\LocalLow\{F5323~1\wpccpl91.dll,AccessToken
规则: [应用程序]*

2016/4/26 09:52:20    访问网络    允许
进程: c:\windows\system32\rundll32.exe
目标: TCP [本机 : 49699] ->  [217.23.6.40 : 443 (https)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/4/26 09:52:28    创建文件    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: C:\ProgramData\{D9E629DC-CB1C-4A97-9900-81922B4EFFD4}\msxml3.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

呵呵！貌似修改用户的文档...

2016/4/26 09:52:39    修改文件    允许
进程: c:\windows\system32\rundll32.exe
目标: G:\Download\hosts\mvps.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2016/4/26 09:53:16    加载动态链接库    允许
进程: c:\program files\internet explorer\iexplore.exe
目标: c:\programdata\{d9e629dc-cb1c-4a97-9900-81922b4effd4}\msxml3.dll
规则: [应用程序]c:\program files\internet explorer\iexplore.exe

2016/4/26 09:53:21    修改文件    允许
进程: c:\windows\system32\rundll32.exe
目标: G:\Download\hosts\mvps.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

2016/4/26 09:53:33    修改文件    阻止
进程: c:\windows\system32\rundll32.exe
目标: F:\MyTools\CheckFilesTools\CheckFile\FCiv\Date\MyBackFileMd5_All.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

捕捉到两个dll文件：

轩夏

微软 全miss
卡巴 msxml3.dll HEUR:Trojan.Win32.Generic

蓝天二号

Dr.web MISS

345

这东西没有挂马配个加载，没啥威胁。

Luca.l

管家miss

liulangzhecgr

345 发表于 2016-4-26 10:47
这东西没有挂马配个加载，没啥威胁。

是吗？！ 呵呵...等一会再发重进神往的经历！

dongwenqi

轩夏 发表于 2016-4-26 10:37
微软 全miss
卡巴 msxml3.dll HEUR:Trojan.Win32.Generic

wpccpl91没查到？

345

liulangzhecgr 发表于 2016-4-26 10:56
是吗？！ 呵呵...等一会再发重进神往的经历！

拭目以待！！！

z2009

过AGP网页防护
第一个360下载保护杀 第二个未知
无法直接双击，忽略

心醉咖啡

火绒miss