一个可疑木马

猥琐大叔

dongwenqi

Eset小粉絲 发表于 2017-10-22 20:21
我还以为这类似的弹窗只有WIN 7。。

win10 RS3，卡巴弹窗回来了

左手

1. 2017-10-22 21:39:36    创建文件 风险提示:低风险    允许
   
2. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
   
3. 目标: C:\WINDOWS\system32\mqeyqi.exe
   
4. 规则: [应用程序]?:\*\*\*\* -> [文件组]{③安全级别:中}f260_①启用《写入windows系统执行文件》 -> [文件]c:\windows\*; *.exe
   
5. 
   
6. 2017-10-22 21:39:46    创建注册表项 风险提示:未知    阻止
   
7. 进程: c:\windows\system32\services.exe
   
8. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\expl0rer
   
9. 规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services
   
10. 
    
11. 2017-10-22 21:39:46    修改注册表值 风险提示:敏感    阻止
    
12. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
    
13. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
    
14. 值: C:\Documents and Settings\Administrator\My Documents
    
15. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
    
16. 
    
17. 2017-10-22 21:39:46    修改注册表值 风险提示:敏感    阻止
    
18. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
    
19. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
    
20. 值: C:\Documents and Settings\All Users\Documents
    
21. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
    
22. 
    
23. 2017-10-22 21:39:46    修改注册表值 风险提示:敏感    阻止
    
24. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
    
25. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
    
26. 值: C:\Documents and Settings\Administrator\桌面
    
27. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
    
28. 
    
29. 2017-10-22 21:39:46    修改注册表值 风险提示:敏感    阻止
    
30. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
    
31. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
    
32. 值: C:\Documents and Settings\All Users\桌面
    
33. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
    
34. 
    
35. 2017-10-22 21:39:46    修改注册表值 风险提示:敏感    阻止
    
36. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
    
37. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
    
38. 值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
    
39. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
    
40. 
    
41. 2017-10-22 21:39:46    修改注册表值 风险提示:敏感    阻止
    
42. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
    
43. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
    
44. 值: C:\Documents and Settings\Administrator\Cookies
    
45. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [注册表组]阻止_优先黑名单
    
46. 
    
47. 2017-10-22 21:39:46    创建新进程 风险提示:未知    阻止
    
48. 进程: c:\documents and settings\administrator\桌面\detdwa.exe
    
49. 目标: c:\windows\system32\cmd.exe
    
50. 命令行: "C:\WINDOWS\system32\cmd.exe" /c del C:\DOCUME~1\ADMINI~1\桌面\detdwa.exe > nul
    
51. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
52. 
    
53. 2017-10-22 21:40:06    创建注册表项 风险提示:未知    阻止
    
54. 进程: c:\windows\system32\services.exe
    
55. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\expl0rer
    
56. 规则: [应用程序]c:\windows\system32\services.exe -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services; expl0rer
    
57. 
    
58. 2017-10-22 21:40:06    修改注册表值 风险提示:敏感    阻止
    
59. 进程: c:\windows\system32\mqeyqi.exe
    
60. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
    
61. 值: C:\Documents and Settings\Administrator\My Documents
    
62. 规则: [应用程序]c:\windows\* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
    
63. 
    
64. 2017-10-22 21:40:06    修改注册表值 风险提示:敏感    阻止
    
65. 进程: c:\windows\system32\mqeyqi.exe
    
66. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
    
67. 值: C:\Documents and Settings\All Users\Documents
    
68. 规则: [应用程序]c:\windows\* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
    
69. 
    
70. 2017-10-22 21:40:06    修改注册表值 风险提示:敏感    阻止
    
71. 进程: c:\windows\system32\mqeyqi.exe
    
72. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
    
73. 值: C:\Documents and Settings\Administrator\桌面
    
74. 规则: [应用程序]c:\windows\* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
    
75. 
    
76. 2017-10-22 21:40:06    修改注册表值 风险提示:敏感    阻止
    
77. 进程: c:\windows\system32\mqeyqi.exe
    
78. 目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
    
79. 值: C:\Documents and Settings\All Users\桌面
    
80. 规则: [应用程序]c:\windows\* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
    
81. 
    
82. 2017-10-22 21:40:06    修改注册表值 风险提示:敏感    阻止
    
83. 进程: c:\windows\system32\mqeyqi.exe
    
84. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
    
85. 值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
    
86. 规则: [应用程序]c:\windows\* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
    
87. 
    
88. 2017-10-22 21:40:06    修改注册表值 风险提示:敏感    阻止
    
89. 进程: c:\windows\system32\mqeyqi.exe
    
90. 目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
    
91. 值: C:\Documents and Settings\Administrator\Cookies
    
92. 规则: [应用程序]c:\windows\* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
    
93. 
    
94. 2017-10-22 21:40:06    创建新进程 风险提示:未知    阻止
    
95. 进程: c:\windows\system32\mqeyqi.exe
    
96. 目标: c:\windows\system32\cmd.exe
    
97. 命令行: "C:\WINDOWS\system32\cmd.exe" /c del C:\WINDOWS\system32\mqeyqi.exe > nul
    
98. 规则: [应用程序]c:\windows\* -> [子应用程序]→a002_《不受信任组》_潜在不受欢迎的木马病毒 -> [应用程序]*\cmd.exe
    

复制代码

Monismith

dr.web
Trojan.AVKill.63184

ELOHIM

WIEP：Trojan:Win32/Tiggre!rfn

王国之心00

竟然就杀360和超级巡警的进程，这是哪年的病毒？

瓜皮猫

ESET kill
Log
C:\Users\Desktop\23a31a2b4ca133b01b4c5d786f486526.msg » RAR5 » detdwa.exe - a variant of Win32/ServStart.MS trojan - deleted

和泉纱雾

righac

一个DDoS 木马

yezhoujie

avast 下载的时候直接就不让下载了，监测出木马