FlyStudio

显示全部楼层 · 发表于 2009-7-27 19:20:40

MFCS
Backdoor:Win32/FlyAgent.F

显示全部楼层 · 发表于 2009-7-27 19:25:43

2009-7-27 19:23:21 底层磁盘操作阻止
进程: c:\documents and settings\administrator\my documents\flystudio\c7b8b6.exe
目标: \Device\Ide\IdePort0
规则: [应用程序]*

2009-7-27 19:23:32 修改物理内存阻止
进程: c:\documents and settings\administrator\my documents\flystudio\c7b8b6.exe
规则: [应用程序]*

2009-7-27 19:23:47 创建文件阻止
进程: c:\documents and settings\administrator\my documents\flystudio\c7b8b6.exe
目标: C:\WINDOWS\system32\ACF7EF\74BE16.EXE
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.exe

显示全部楼层 · 发表于 2009-7-27 19:49:23

2009-07-27 19:47:29 注册表保护(修改注册表内容)    操作:使用隔离区操作
进程路径:C:\WINDOWS\System32\taskmgr.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\TaskManager
注册表名称:Preferences
2009-07-27 19:47:04 文件保护(创建文件)    操作:使用隔离区操作
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
文件路径:C:\WINDOWS\system32\ACF7EF\74BE16.EXE
2009-07-27 19:47:04 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:47:02 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:47:00 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:46:59 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:46:57 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:46:56 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:46:54 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:46:53 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory
2009-07-27 19:46:51 应用程序保护(访问物理内存)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$EX00.719\C7B8B6.EXE
物理内存:\device\physicalmemory

显示全部楼层 · 发表于 2009-7-27 20:34:48

占位～～～～
瓦斯曲TESTING

显示全部楼层 · 发表于 2009-7-27 20:52:17

瓦斯曲完美防护

显示全部楼层 · 发表于 2009-7-27 22:08:33

drweb读了n秒查出

显示全部楼层 · 发表于 2009-7-27 22:34:11

2009/7/27 22:31:31 已删除木马程序 Trojan-Dropper.Win32.Flystud.tv G:\Temp\Virus\FlyStudio\C7B8B6.EXE

显示全部楼层 · 发表于 2009-7-27 22:54:57

DW
C7B8B6.EXE - infected with Win32.HLLW.Autoruner.4360

显示全部楼层 · 发表于 2009-7-27 23:08:12

Win32:Trojan-gen {Other}

[病毒样本] FlyStudio