#3（17.10.19）

左手

[mw_shl_code=css,true]2017-10-19 21:38:56    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\LogSessionName
值: stdout
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Microsoft\Windows*\*

2017-10-19 21:38:56    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-10-19 21:39:11    创建文件 风险提示:低风险    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Application Data\2mgCZYEa.tmp
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-10-19 21:39:11    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-19 21:39:11    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-19 21:39:11    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-19 21:39:11    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-10-19 21:39:11    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: C:\Documents and Settings\Administrator\My Documents
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-10-19 21:39:11    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-10-19 21:39:11    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单

2017-10-19 21:39:11    创建文件 风险提示:低风险    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\yCL2V4j7.lnk
规则: [应用程序]?* -> [文件]?:\documents and settings\*\程序\启动\*

2017-10-19 21:39:11    创建文件 风险提示:低风险    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DF9AF8.tmp
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《写入》f309_允许修改的文件>a100 -> [文件]*\temp\*

2017-10-19 21:39:11    创建文件 风险提示:低风险    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DF9B23.tmp
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《写入》f309_允许修改的文件>a100 -> [文件]*\temp\*

2017-10-19 21:39:11    创建文件 风险提示:低风险    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\~DF9B60.tmp
规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《写入》f309_允许修改的文件>a100 -> [文件]*\temp\*

2017-10-19 21:39:13    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\LogSessionName
值: stdout
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Microsoft\Windows*\*

2017-10-19 21:40:16    创建新进程 风险提示:未知    允许
进程: c:\documents and settings\administrator\桌面\2.exe
目标: c:\windows\system32\svchost.exe
命令行: C:\WINDOWS\system32\svchost.exe
规则: [应用程序]??\?* -> [子应用程序]a085_《行为防御》_特殊位置限制 -> [应用程序]c:\windows\system32\svchost.exe

2017-10-19 21:40:16    修改其他进程的内存 风险提示:高风险    阻止
进程: c:\documents and settings\administrator\桌面\2.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序组]a082_《行为防御》_自动运行 -> [应用程序]c:\documents and settings\*\* -> [目标应用程序]?:\windows\system32\svchost.exe
[/mw_shl_code]

petr0vic

BD

心醉咖啡

毒霸扫描miss

Dolby123

Sophos Home Beta

Malware detected: 'Mal/Generic-S' at 'C:\Users\Administrator\Desktop\1.exe'
Malware detected: 'Mal/EncPk-ANR' at 'C:\Users\Administrator\Desktop\3.exe'

双击 2.exe (spyware)