远程控制木马

直接在windows文件夹里面创建exe，动作也太明显了吧。。。 comodo允许了，也写不进去，不知道为啥

majiajun

路过

275751198

360 QVM拉黑

swizzer

2017/1/13 星期五 09:12:43    创建文件    阻止
进程: c:\users\administrator.l1sokxo5ykjg59v\documents\tencent files\all users\病毒\svchost\svchost.exe
目标: C:\windows\nizreo.exe
规则: [应用程序组]！！ 测试组！！ -> [文件组]☆系统执行文件（严格阻止） -> [文件]c:\windows\*; *.exe

2017/1/13 星期五 09:12:49    安装驱动程序或服务    阻止
进程: c:\users\administrator.l1sokxo5ykjg59v\documents\tencent files\all users\病毒\svchost\svchost.exe
目标: C:\windows\nizreo.exe
规则: [应用程序组]！！ 测试组！！

2017/1/13 星期五 09:12:54    创建文件    允许
进程: c:\users\administrator.l1sokxo5ykjg59v\documents\tencent files\all users\病毒\svchost\svchost.exe
目标: C:\2929.vbs
规则: [应用程序组]！！ 测试组！！ -> [文件]*

2017/1/13 星期五 09:13:25    创建新进程   阻止
进程: c:\users\administrator.l1sokxo5ykjg59v\documents\tencent files\all users\病毒\svchost\svchost.exe
目标: c:\windows\system32\wscript.exe
命令行: "C:\windows\system32\WScript.exe" "C:\2929.vbs"
规则: [应用程序组]！！ 测试组！！
居然要加驱？我怎么怀疑MD识别错了呢？