刚抓的修改IE主页 所有杀软miss（微点部分拦截）

duyor

kis2009报了木马

浪滔天

看来卡巴的启发报得挺准

quanfanpro

nis2008把他干掉了

solcroft

原帖由 killerwhale 于 2008-8-22 18:15 发表
你试一下桌面和快速启动栏的IE快捷方式被改成C:\Program Files\Internet Explorer\IEXPLORE.EXE" hXXp://www.go2000.cn没有    没有的话   我明天改用TF去

没被改
我觉得这只是微点本身的bug罢了，而不是病毒特别牛或什么的

电影结束了

原帖由 killerwhale 于 2008-8-22 15:34 发表
我倒
我说的是微点miss    那我肯定是运行过测试了才发上来嘛  大家不要被表象所蒙蔽嘛
电影竟然认为我发的是声卡驱动  55555~~~~~
还是小哀好

我没有认为那不是个病毒啊。。。~

Palkia

金山 -

nosferatu

虽然SSM和ZA都拦截了，但是重启后还是在快速启动栏建立了一个指向hXXp://www.go2000.cn的IE快捷方式

左手

试了好几次，EQ3。41可以拦掉呀~

2008-08-22 21:44:31    修改其它进程内存      操作:阻止
进程路径:C:\WINDOWS\Explorer.EXE
目标进程:E:\no\test\msconfig.exe
触发规则:所有程序规则->*


2008-08-22 21:44:31    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{5B8225C7-757A-44B2-96BB-1E3AC529B03B}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:31    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{5B8225C7-757A-44B2-96BB-1E3AC529B03B}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:31    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:31    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:31    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:31    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:33    修改其它进程内存      操作:阻止
进程路径:C:\WINDOWS\Explorer.EXE
目标进程:E:\no\test\msconfig.exe
触发规则:所有程序规则->*


2008-08-22 21:44:33    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{5B8225C7-757A-44B2-96BB-1E3AC529B03B}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:33    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{5B8225C7-757A-44B2-96BB-1E3AC529B03B}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:33    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:33    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:33    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*


2008-08-22 21:44:33    创建注册表值      操作:阻止
进程路径:E:\no\test\msconfig.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}
注册表名称:[Key]
触发规则:所有程序规则->IE浏览器设置->*\Software\Microsoft\Internet explorer\Search*

左手

刚才关EQ，也用TF试了下~
和solcroft兄的结果一样，太喜欢TF``````````

主动防御

原帖由 浪滔天 于 2008-8-22 17:26 发表
看来卡巴的启发报得挺准

卡巴斯基有虚拟机启发式分析的，卡巴的虚拟机运行后发现修改IE所以卡巴就报出来了，呵呵