【双击敢死队何在】模拟操作样本

巍巍泰航

不是说卡巴的主防对小动作不敏感吗

230f4

电脑发烧友 发表于 2016-8-16 10:36
别这样，刚才主防还杀了两个勒索呢

KSN拉黑杀

电脑发烧友

230f4 发表于 2016-8-16 10:59
KSN拉黑杀

确实是拉黑了，但我添加到排除了，确实是PDM报法。
http://bbs.kafan.cn/forum.php?mo ... ;page=2#pid38217208

pal家族

首先这个卡巴主防不会杀的，算死很低很低的风险了
我觉得你应该找找为什么会放过的原因，看看应用程序控制对应的的设置，是不是误设置了？

电脑发烧友

pal家族 发表于 2016-8-16 11:12
首先这个卡巴主防不会杀的，算死很低很低的风险了
我觉得你应该找找为什么会放过的原因，看看应用程序控制 ...

嗯，我在检查检查，我也觉得卡巴不对付这种方式也说不过去，对了，这是里面的注册表项几乎都是启动项

pal家族

电脑发烧友 发表于 2016-8-16 11:15
嗯，我在检查检查，我也觉得卡巴不对付这种方式也说不过去，对了，这是里面的注册表项几乎都是启动项

反正不可能是样本操纵鼠标点击允许的。。。。。

电脑发烧友

pal家族 发表于 2016-8-16 11:16
反正不可能是样本操纵鼠标点击允许的。。。。。

对了，那个去不掉的叹号似乎是老BUG了，现在还在呀

pal家族

电脑发烧友 发表于 2016-8-16 11:21
对了，那个去不掉的叹号似乎是老BUG了，现在还在呀

在，听说2016MR1 E要修复
估计2017下一个补丁也可以

听说。

tg123321

电脑发烧友 发表于 2016-8-16 11:15
嗯，我在检查检查，我也觉得卡巴不对付这种方式也说不过去，对了，这是里面的注册表项几乎都是启动项

2016-8-16 11:39:51    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\virustest\样本\dnf超级稳定buff辅助.exe
命令行: "F:\virustest\样本\DNF超级稳定BUFF辅助.exe"
规则: [应用程序]c:\windows\explorer.exe -> [子应用程序]?:\*.*

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\winmm.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\ws2_32.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\ws2help.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\winspool.drv
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\oledlg.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\imm32.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\lpk.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\usp10.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\serwvdrv.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\umdmxfrm.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:51    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\winsxs\x86_microsoft.windows.common-controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\uxtheme.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\msctf.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\msctfime.ime
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\wdmaud.drv
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\setupapi.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\msacm32.drv
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\msacm32.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:39:52    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\midimap.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    底层键盘操作 (6)    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:40:09    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:40:09    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\clbcatq.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\comres.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\shdocvw.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\riched20.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\shdoclc.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\webcheck.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:09    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\wsock32.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:10    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\TerryTian\Local Settings\Temporary Internet Files
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-16 11:40:10    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Directory
值: C:\Documents and Settings\TerryTian\Local Settings\Temporary Internet Files\Content.IE5
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:11    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path1\CacheLimit
值: 0x0004e1ff(319999)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:12    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\TerryTian\Cookies
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-16 11:40:12    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\TerryTian\Local Settings\History
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-16 11:40:13    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\urlmon.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:40:13    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:14    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:14    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:15    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:15    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:16    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:40:56    底层键盘操作 (22)    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:03    创建文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: C:\xinxinxiu.com.txt
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有文件保护 -> [文件]?:\*

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\shdoclc.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\xpsp2res.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\mlang.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\mswsock.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\hnetcfg.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\wshtcpip.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    访问网络    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: UDP [本机 : 1284] ->  [127.0.0.1 : 1284]
规则: [应用程序组]● 行为测试规则 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\rasapi32.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\rasman.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\tapi32.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\rtutils.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\msv1_0.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\iphlpapi.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:41:08    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\sensapi.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:08    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:41:08    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [应用程序组]● 行为测试规则 -> [文件组]◆ 系统目录保护（阻止） -> [文件]c:\windows\*

2016-8-16 11:41:14    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-16 11:41:14    读文件夹    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: D:
规则: [应用程序组]● 行为测试规则 -> [文件]d:\*

2016-8-16 11:41:14    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\tao
值: D:\tao.exe
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 自启动项保护（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Run*

2016-8-16 11:41:14    读文件夹    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: D:
规则: [应用程序组]● 行为测试规则 -> [文件]d:\*

2016-8-16 11:41:14    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\q
值: D:\q.exe
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 自启动项保护（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Run*

2016-8-16 11:41:14    读文件夹    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: D:
规则: [应用程序组]● 行为测试规则 -> [文件]d:\*

2016-8-16 11:41:14    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\qq
值: D:\qq.exe
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 自启动项保护（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Run*

2016-8-16 11:41:14    读文件夹    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: D:
规则: [应用程序组]● 行为测试规则 -> [文件]d:\*

2016-8-16 11:41:14    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ad
值: D:\p7_k44665_bBrUCPyJi9W434Uf9gkbFa6UsicP2.exe
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 自启动项保护（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Run*

2016-8-16 11:41:15    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:41:15    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [应用程序组]● 行为测试规则 -> [文件组]◆ 系统目录保护（阻止） -> [文件]c:\windows\*

2016-8-16 11:41:16    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\TerryTian\Application Data
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-16 11:41:17    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy
值: 0x00000001(1)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:41:18    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:41:18    删除注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:41:19    删除注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:41:19    删除注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:41:20    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\*ControlSet*\Hardware Profiles\*

2016-8-16 11:41:20    修改注册表值    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
值: 3c 00 00 00 f1 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 00 b3 e9 58 6c de d1 01 01 00 00 00 c0 a8 03 05 00 00 00 00 00 00 00 00
规则: [应用程序组]● 行为测试规则 -> [注册表]*

2016-8-16 11:41:21    修改文件    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-16 11:41:21    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\dnsapi.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:23    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\rasadhlp.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:23    访问网络    阻止
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: TCP [本机 : 1285] ->  [218.244.130.151 : 80 (http)]
规则: [应用程序组]● 行为测试规则 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016-8-16 11:41:23    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\mshtml.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:23    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\msls31.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:23    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\psapi.dll
规则: [应用程序组]● 行为测试规则

2016-8-16 11:41:23    加载动态链接库    允许
进程: f:\virustest\样本\dnf超级稳定buff辅助.exe
目标: c:\windows\system32\msimtf.dll
规则: [应用程序组]● 行为测试规则

tg123321

pal家族 发表于 2016-8-16 11:16
反正不可能是样本操纵鼠标点击允许的。。。。。

样本运行时的确让鼠标动了一下。。。。