收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › KIS8 被直接杀退出
123456下一页
返回列表 发新帖
楼主: 小乔美子
 收起左侧

[病毒样本] KIS8 被直接杀退出

[复制链接]
铩雨骑士
发表于 2009-5-13 23:28:51 | 显示全部楼层
江民杀了
回复

举报

jhtl
发表于 2009-5-13 23:43:24 | 显示全部楼层
针对nod、360和卡巴。

2009-5-13 23:20:00    创建新进程    允许
进程: c:\documents and settings\桌面\smses.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c sc config ekrn start= disabled
规则: [应用程序]*

2009-5-13 23:20:22    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]*

2009-5-13 23:20:26    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\sc.exe
命令行: sc config ekrn start= disabled
规则: [应用程序]*

2009-5-13 23:20:38    创建新进程    允许
进程: c:\documents and settings\桌面\smses.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c taskkill.exe /im ekrn.exe /f
规则: [应用程序]*


2009-5-13 23:21:10    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\taskkill.exe
命令行: taskkill.exe /im ekrn.exe /f
规则: [应用程序]*

2009-5-13 23:21:23    创建新进程    允许
进程: c:\documents and settings\桌面\smses.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c taskkill.exe /im egui.exe /f
规则: [应用程序]*


2009-5-13 23:21:48    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\taskkill.exe
命令行: taskkill.exe /im egui.exe /f
规则: [应用程序]*


2009-5-13 23:22:36    创建文件    允许
进程: c:\documents and settings\桌面\smses.exe
目标: C:\WINDOWS\killdll.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll


2009-5-13 23:23:08    创建新进程    允许
进程: c:\documents and settings\桌面\smses.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\killdll.dll testall
规则: [应用程序]*


2009-5-13 23:23:58    删除文件    允许
进程: c:\windows\system32\rundll32.exe
目标: C:\WINDOWS\system32\drivers\asyncmac.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys


2009-5-13 23:25:00    删除文件    允许
进程: c:\documents and settings\桌面\smses.exe
目标: C:\WINDOWS\killdll.dll
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.dll

2009-5-13 23:25:09    创建文件    允许
进程: c:\windows\system32\rundll32.exe
目标: C:\WINDOWS\system32\drivers\AsyncMac.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys


2009-5-13 23:25:45    创建文件    允许
进程: c:\documents and settings\\桌面\smses.exe
目标: C:\WINDOWS\8764078text.exe
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.exe

2009-5-13 23:25:54    安装驱动程序或服务    阻止
进程: c:\windows\system32\rundll32.exe
目标: RCTV
文件路径: C:\WINDOWS\system32\drivers\AsyncMac.sys
规则: [应用程序]*

2009-5-13 23:25:59    创建新进程    允许
进程: c:\documents and settings\桌面\smses.exe
目标: c:\windows\8764078text.exe
命令行: C:\WINDOWS\8764078text.exe
规则: [应用程序]*

2009-5-13 23:26:03    启动驱动程序或服务    阻止
进程: c:\windows\system32\rundll32.exe
规则: [应用程序]*

2009-5-13 23:26:14    创建新进程    允许
进程: c:\windows\8764078text.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls C:\WINDOWS\system32 /e /p everyone:f
规则: [应用程序]*

2009-5-13 23:26:29    创建注册表项    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2009-5-13 23:26:32    创建新进程    阻止
进程: c:\windows\8764078text.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c cacls "C:\DOCUME~1\LOCALS~1\Temp\" /e /p everyone:f
规则: [应用程序]*


2009-5-13 23:26:36    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cacls.exe
命令行: cacls C:\WINDOWS\system32 /e /p everyone:f
规则: [应用程序]*

2009-5-13 23:26:37    创建注册表项    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2009-5-13 23:26:55    创建文件    允许
进程: c:\documents and settings\桌面\smses.exe
目标: C:\WINDOWS\system32\drivers\pcidump.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2009-5-13 23:27:09    修改注册表值    阻止
进程: c:\windows\8764078text.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RsTray
值: C:\WINDOWS\system32\scvhost.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2009-5-13 23:27:30    创建注册表项    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2009-5-13 23:27:33    安装驱动程序或服务    阻止
进程: c:\documents and settings\桌面\smses.exe
目标: pcidump
文件路径: C:\WINDOWS\system32\drivers\pcidump.sys
规则: [应用程序]*

2009-5-13 23:28:04    访问网络    允许
进程: c:\windows\8764078text.exe
目标: TCP [本机 : 2452] ->  [59.34.198.192 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-13 23:28:08    访问网络    允许
进程: c:\windows\8764078text.exe
目标: UDP [本机 : 2453] ->  [127.0.0.1 : 2453]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-13 23:28:16    访问网络    允许
进程: c:\windows\8764078text.exe
目标: TCP [本机 : 2454] ->  [59.34.198.159 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-13 23:28:25    创建注册表项    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2009-5-13 23:28:35    停止驱动程序或服务    阻止
进程: c:\documents and settings\桌面\smses.exe
目标: PCIDump
规则: [应用程序]*

2009-5-13 23:28:38    访问网络    阻止
进程: c:\windows\8764078text.exe
目标: TCP [本机 : 2464] ->  [59.34.198.159 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-13 23:28:40    创建注册表项    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safebox.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2009-5-13 23:28:41    删除驱动程序或服务    阻止
进程: c:\documents and settings\桌面\smses.exe
目标: PCIDump
规则: [应用程序]*

2009-5-13 23:28:57    访问网络    阻止
进程: c:\windows\8764078text.exe
目标: TCP [本机 : 2466] ->  [59.34.198.159 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-13 23:29:00    创建注册表项    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safebox.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2009-5-13 23:29:09    安装驱动程序或服务    阻止
进程: c:\documents and settings\桌面\smses.exe
目标: pcidump
文件路径: C:\WINDOWS\system32\drivers\pcidump.sys
规则: [应用程序]*

2009-5-13 23:29:14    访问网络    阻止
进程: c:\windows\8764078text.exe
目标: TCP [本机 : 2470] ->  [59.34.198.159 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-13 23:29:18    创建注册表项    阻止并结束进程
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2009-5-13 23:29:21    停止驱动程序或服务    阻止并结束进程
进程: c:\documents and settings\桌面\smses.exe
目标: PCIDump
规则: [应用程序]*

2009-5-13 23:29:23    访问网络    阻止并结束进程
进程: c:\windows\8764078text.exe
目标: TCP [本机 : 2475] ->  [59.34.198.159 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

[ 本帖最后由 jhtl 于 2009-5-13 23:46 编辑 ]
回复

举报

kingmuro
头像被屏蔽
发表于 2009-5-13 23:49:37 | 显示全部楼层

kv2008 kill

TrojanDownloader.Agent.bebh
回复

举报

小乔美子
头像被屏蔽
 楼主| 发表于 2009-5-14 00:45:29 | 显示全部楼层
俄国人说 能杀，

可我的KIS8更新后 依然杀不了，而多引擎上卡巴斯基7 却能杀

奇怪
回复

举报

328397663
发表于 2009-5-14 00:52:55 | 显示全部楼层
原帖由 小乔美子 于 2009-5-14 00:45 发表
俄国人说 能杀，

可我的KIS8更新后 依然杀不了，而多引擎上卡巴斯基7 却能杀

奇怪

估计3-4小时后才能发现
回复

举报

yy8088
发表于 2009-5-14 02:15:43 | 显示全部楼层
上报的真快...主流的已经都可以杀了
回复

举报

jhtl
发表于 2009-5-14 07:16:15 | 显示全部楼层
原帖由 小乔美子 于 2009-5-14 00:45 发表
俄国人说 能杀，

可我的KIS8更新后 依然杀不了，而多引擎上卡巴斯基7 却能杀

奇怪


你设置有问题
回复

举报

fengliuyedao
发表于 2009-5-14 07:50:17 | 显示全部楼层
红伞还不能杀，没人上报吗？
回复

举报

bzming
发表于 2009-5-14 08:11:45 | 显示全部楼层
好牛的病毒啊
回复

举报

kingsheet
发表于 2009-5-14 08:53:43 | 显示全部楼层
卡巴
检测到：木马程序 Trojan-Downloader.Win32.Geral.na        URL: http://bbs.kafan.cn/attachment.p ... 42262373//smses.exe
回复

举报

下一页 »
123456下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-5-1 06:47 , Processed in 0.105562 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表