RootkitX1

黑衣~魂

TO DW

wsmurderer

2009-4-12 23:47:04    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\rootkit.exe
目标: C:\WINDOWS\system32\killdll.dll
规则: [文件组]关系到系统启动运行的文件_阻止建改删 -> [文件]c:\windows\*

2009-4-12 23:47:05    创建新进程    阻止
进程: c:\documents and settings\administrator\桌面\rootkit.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\killdll.dll killall
规则: [应用程序]* -> [子应用程序]c:\windows\system32\rundll32.exe

2009-4-12 23:47:30    创建文件    允许
进程: c:\documents and settings\administrator\桌面\rootkit.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\update~.exe
规则: [文件组]记录temp中可执行文件 -> [文件]*temp*; *.exe

2009-4-12 23:47:30    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\update~.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls C:\WINDOWS\system32 /e /p everyone:f
规则: [应用程序]* -> [子应用程序]*\cmd.exe

2009-4-12 23:47:30    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\update~.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\" /e /p everyone:f
规则: [应用程序]* -> [子应用程序]*\cmd.exe

2009-4-12 23:47:30    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\update~.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RsTray
值: C:\WINDOWS\system32\scvhost.exe
规则: [注册表组]自动运行 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2009-4-12 23:47:30    访问网络    阻止
进程: c:\documents and settings\administrator\local settings\temp\update~.exe
目标: UDP [本机 : 4080] ->  [127.0.0.1 : 4080]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-4-12 23:47:30    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\rootkit.exe
目标: C:\WINDOWS\system32\drivers\pcidump.sys
规则: [文件组]危险文件和重要文件_阻止建改删 -> [文件]*; *.sys

2009-4-12 23:47:30    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pcidump
规则: [注册表组]自动运行 -> [注册表]HKEY_LOCAL_MACHINE\system\currentcontrolset\services*

2009-4-12 23:47:30    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pcidump
规则: [注册表组]自动运行 -> [注册表]HKEY_LOCAL_MACHINE\system\currentcontrolset\services*

2009-4-12 23:47:30    访问网络    阻止
进程: c:\documents and settings\administrator\local settings\temp\update~.exe
目标: TCP [本机 : 4082] ->  [121.12.169.219 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-4-12 23:47:31    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\rootkit.exe
目标: C:\Documents and Settings\Administrator\桌面\Rootkit.exe
规则: [文件组]全局阻止改 -> [文件]*; *.exe

2009-4-12 23:47:35    访问网络    阻止
进程: c:\documents and settings\administrator\local settings\temp\update~.exe
目标: TCP [本机 : 4083] ->  [121.12.169.219 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

yeow5243

女神杀

狂舞的猪

江民杀

ledled

名称: Packed/Upack
类型: Sequence

描述:


文件:
c:\users\administrator\desktop\rootkit.exe