帮忙分析一个病毒

lsgster

火绒清除

Microsoftheihei

ess kill

3801187

xcvbaby

毒霸

左手

[mw_shl_code=css,true]2016-8-15 21:54:42    创建新进程 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
目标: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
命令行: "C:\Documents and Settings\Administrator\桌面\mszrdbn\mszrdbn.exe"
规则: [应用程序]??* -> [子应用程序]*\桌面\*

2016-8-15 21:54:43    加载动态链接库 风险级别:中    允许
进程: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
目标: c:\windows\system32\dnsapi.dll
规则: [应用程序]*.exe -> [动态链接库]c:\windows\system32\dnsapi.dll

2016-8-15 21:54:52    创建新进程 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
目标: c:\windows\system32\msiexec.exe
命令行: "C:\WINDOWS\system32\msiexec.exe"
规则: [应用程序]?:\*\*\*\*\* -> [子应用程序]c:\windows\system32\*

2016-8-15 21:54:53    修改其他进程的内存 风险级别:高    阻止
进程: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
目标: c:\windows\system32\msiexec.exe
规则: [应用程序组]D+_Documents -> [应用程序]c:\documents and settings\*\* -> [目标应用程序]?:\windows\*

2016-8-15 21:54:53    结束其他进程 风险级别:高    阻止
进程: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
目标: c:\windows\system32\msiexec.exe
规则: [应用程序组]D+_Documents -> [应用程序]c:\documents and settings\*\* -> [目标应用程序]?:\windows\*

2016-8-15 21:55:05    创建新进程 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
目标: c:\windows\system32\msiexec.exe
命令行: "C:\WINDOWS\system32\msiexec.exe"
规则: [应用程序]?:\*\*\*\*\* -> [子应用程序]c:\windows\system32\*

2016-8-15 21:55:06    修改其他进程的线程 风险级别:高    阻止
进程: c:\documents and settings\administrator\桌面\mszrdbn\mszrdbn.exe
目标: c:\windows\system32\msiexec.exe
规则: [应用程序组]D+_Documents -> [应用程序]c:\documents and settings\*\* -> [目标应用程序]?:\windows\*
[/mw_shl_code]

xu126yx

SSF测试，最典型的行为是dll injection：