过454自动模式?

sam.to

我本來是使用手动模式的,运行这样本时不会运行生成,但我使用自动模式后发现运行生成,之后因我看到这个现象,所以把样本的进程中止,没再测试

这个样本和所有生成已上报

syfwxmh

卡巴报suspicous packer~

sam.to

............你不是454....

syfwxmh

是454

sam.to

為什么我会这样?

你是用新引擎??

theboyfromchina

的确，用主动模式报suspicous packer，可能用的是新引擎吧，开的是中启发

sxingbai

2008-11-8 21:55:44        c:\windows\explorer.exe        创建新进程        c:\documents and settings\administrator\桌面\11\1.exe       
2008-11-8 21:55:45        c:\documents and settings\administrator\桌面\11\1.exe        创建文件        C:\WINDOWS\system32\clwdudiadtq.dll       
2008-11-8 21:55:45        c:\documents and settings\administrator\桌面\11\1.exe        创建文件        C:\WINDOWS\system32\361safe.exe       
2008-11-8 21:55:45        c:\documents and settings\administrator\桌面\11\1.exe        修改文件        C:\WINDOWS\system32\361safe.exe               
2008-11-8 21:56:16        c:\documents and settings\administrator\桌面\11\1.exe        创建新进程        c:\windows\system32\361safe.exe       
2008-11-8 21:56:17        c:\windows\system32\361safe.exe        创建文件        C:\WINDOWS\Fonts\svchost.exe       
2008-11-8 21:56:17        c:\windows\system32\361safe.exe        修改文件        C:\WINDOWS\Fonts\svchost.exe               
2008-11-8 21:56:31        c:\windows\system32\361safe.exe        创建新进程        c:\windows\fonts\svchost.exe       
2008-11-8 21:56:32        c:\windows\fonts\svchost.exe        创建文件        C:\WINDOWS\Downloaded Program Files\svchost.exe       
2008-11-8 21:56:32        c:\windows\fonts\svchost.exe        修改文件        C:\WINDOWS\Downloaded Program Files\svchost.exe       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        修改文件        \Device\NamedPipe\wkssvc       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        修改文件        \Device\NamedPipe\lsarpc       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\A\BaseClass       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C\BaseClass       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\D\BaseClass       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies       
2008-11-8 21:56:42        c:\windows\fonts\svchost.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\Downloaded Program Files\svchost.exe       
2008-11-8 21:56:54        c:\windows\fonts\svchost.exe        创建新进程        c:\windows\downloaded program files\svchost.exe       
2008-11-8 21:57:25        c:\documents and settings\administrator\桌面\11\1.exe        创建新进程        c:\windows\system32\svchost.exe       
2008-11-8 21:57:38        c:\windows\downloaded program files\svchost.exe        创建新进程        c:\windows\system32\conime.exe       
2008-11-8 21:57:38        c:\windows\downloaded program files\svchost.exe        修改文件        \Device\NamedPipe\wkssvc       
2008-11-8 21:57:38        c:\windows\downloaded program files\svchost.exe        修改文件        \Device\NamedPipe\192.168.203.1\pipe\browser       
2008-11-8 21:57:38        c:\windows\system32\361safe.exe        写注册表值        HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page       
2008-11-8 21:57:38        c:\windows\downloaded program files\svchost.exe        修改文件        \Device\NamedPipe\wkssvc       
2008-11-8 21:57:38        c:\windows\downloaded program files\svchost.exe        修改文件        \Device\NamedPipe\192.168.203.2\pipe\browser       
2008-11-8 21:57:38        c:\windows\downloaded program files\svchost.exe        修改文件        \Device\NamedPipe\wkssvc       
2008-11-8 21:57:47        c:\documents and settings\administrator\桌面\11\1.exe       
2008-11-8 21:57:47        c:\windows\downloaded program files\svchost.exe        修改文件        \Device\NamedPipe\wkssvc       
2008-11-8 21:57:49        c:\documents and settings\administrator\桌面\11\1.exe        修改其他进程的线程        c:\windows\system32\svchost.exe
2008-11-8 21:57:50        c:\documents and settings\administrator\桌面\11\1.exe        创建文件        c:\DEL.bat       
2008-11-8 21:57:50        c:\documents and settings\administrator\桌面\11\1.exe        修改文件        C:\DEL.bat       
2008-11-8 21:57:58        c:\documents and settings\administrator\桌面\11\1.exe        创建新进程        c:\windows\system32\cmd.exe       
2008-11-8 21:58:01        c:\windows\system32\cmd.exe        删除文件        C:\Documents and Settings\Administrator\桌面\11\1.exe       
2008-11-8 21:58:02        c:\windows\system32\cmd.exe        删除文件        C:\DEL.bat

[ 本帖最后由 sxingbai 于 2008-11-8 22:21 编辑 ]

浪滔天

原帖由 kato9096 于 2008-11-8 21:54 发表
為什么我会这样?

你是用新引擎??

报的是可疑加壳，看看你的威胁类型里有没有全部勾选。

[ 本帖最后由 浪滔天 于 2008-11-8 22:28 编辑 ]

sam.to

原來如此.....

sam.to

但有人解答我对自动模式的問題嗎?