#1（17.8.23）

petr0vic

infected

https://www.virustotal.com/en/fi ... 46613976f/analysis/

浅暮、浅离

卡巴！！！

zst470396853

360

ziyerain2015

扫描双击

900703

MAX 卡位

左手

2017-8-23 23:37:42    创建文件 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Application Data\soft\winsoft.exe
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-8-23 23:37:42    修改注册表值 风险级别:未知    阻止
进程: d:\program files\fscapture8.4_chs\fscapture.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\NetHood
值: C:\Documents and Settings\Administrator\NetHood
规则: [应用程序组]→a080_★★★【一般加至该组《常用的程序和游戏》】★★★ -> [注册表组]阻止_优先黑名单

2017-8-23 23:37:42    创建新进程 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: c:\documents and settings\administrator\application data\soft\winsoft.exe
命令行: "C:\Documents and Settings\Administrator\Application Data\soft\winsoft.exe"
规则: [应用程序]??\?* -> [子应用程序]c:\documents and settings\*\application data\*\*.exe

2017-8-23 23:37:45    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [应用程序]?:\*\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-8-23 23:37:45    向其他进程复制句柄 风险级别:高    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
句柄: (Mutant) \BaseNamedObjects\{A1E289DC-D6CA-891C-C0A7-A6C03E7EC773}
规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe

2017-8-23 23:37:45    向其他进程复制句柄 风险级别:高    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
句柄: (Event) 0x00000118
规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe

2017-8-23 23:37:45    向其他进程复制句柄 风险级别:高    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
句柄: (Process) c:\documents and settings\administrator\application data\soft\winsoft.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe

2017-8-23 23:37:45    向其他进程复制句柄 风险级别:高    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
句柄: (Event) 0x00000110
规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe

2017-8-23 23:37:45    向其他进程复制句柄 风险级别:高    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
句柄: (Event) 0x00000118
规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe

2017-8-23 23:37:45    向其他进程复制句柄 风险级别:高    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
句柄: (Process) c:\documents and settings\administrator\application data\soft\winsoft.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe

2017-8-23 23:37:45    向其他进程复制句柄 风险级别:高    阻止
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
句柄: (Event) 0x00000110
规则: [应用程序]* -> [目标应用程序]c:\windows\explorer.exe

2017-8-23 23:37:45    修改其他进程的内存 风险级别:高    阻止并结束进程
进程: c:\documents and settings\administrator\application data\soft\winsoft.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]a022_《行为防御》_自动运行 -> [应用程序]c:\documents and settings\*\* -> [目标应用程序]?:\windows\explorer.exe

2017-8-23 23:37:46    修改文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\tmp5fb4595d.bat
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《坚固》f299_询问修改的文件>a100 -> [文件]*; *.bat

2017-8-23 23:37:55    删除文件 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\tmp5fb4595d.bat
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《坚固》f299_询问修改的文件>a100 -> [文件]*; *.bat

819340

管家MISS

a445441

微点拦截