可疑样本

yjwfdc

1.连网
2。下载exe文件，并运行
3。第一个exe向system32写dll 被关闭
4.下载第二个exe文件，并运行，
5。第二个exe创建计划任务，被关闭
6。继续下载第三个exe文件,不想和它玩了，关闭。



2010-04-21 14:22:35    创建文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\aC.tmp
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:37    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\aC.tmp
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:38    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\aC.tmp
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:41    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Cache\Content.IE5\index.dat
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:42    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Cache\Content.IE5\index.dat
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:43    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:C:\Documents and Settings\aaa\Cookies\index.dat
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:43    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:C:\Documents and Settings\aaa\Cookies\index.dat
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:44    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:C:\Documents and Settings\aaa\Local Settings\History\History.IE5\index.dat
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:45    修改文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:C:\Documents and Settings\aaa\Local Settings\History\History.IE5\index.dat
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:57    创建文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\Lxz.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:22:59    运行应用程序      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\Lxz.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------x交互->*\病毒\*


2010-04-21 14:23:00    创建文件      操作:阻止并结束进程
进程路径:E:\RG60Plus\Temp\Lxz.exe
文件路径:C:\WINDOWS\system32\sshnas21.dll
触发规则:应用程序规则->111_脚本x->*\wscript.exe->%SystemRoot%\*


2010-04-21 14:23:10    创建文件      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\Lx0.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2010-04-21 14:23:11    运行应用程序      操作:允许
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\Lx0.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------x交互->*\病毒\*


2010-04-21 14:23:12    创建注册表值      操作:使用任务隔离区操作
进程路径:E:\RG60Plus\Temp\Lx0.exe
注册表路径:HKEY_CURRENT_USER\Software\QZAIB7KITK
注册表名称:[Key]
触发规则:所有程序规则->全局注册表保护_坚固->*


2010-04-21 14:23:16    创建文件      操作:阻止并结束进程
进程路径:E:\RG60Plus\Temp\Lx0.exe
文件路径:C:\WINDOWS\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job
触发规则:应用程序规则->111_脚本x->*\wscript.exe->%SystemRoot%\*


2010-04-21 14:23:22    创建文件      操作:阻止
进程路径:D:\病毒\Keygen_Vba32[1].Virus.Scan.Portable.45059\Keygen_Vba32.Virus.Scan.Portable.45059.exe
文件路径:E:\RG60Plus\Temp\Lx1.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*

imut

回复 11# yjwfdc

呵呵,高手阿,我见他要联网,就立马阻止了

萧剑

wliao

微点

kkgh

瑞星  Trojan.Win32.Generic.120050BA

尤金卡巴斯基

http://www.virustotal.com/zh-cn/ ... 83f4ed6a-1271863847

匆匆

360杀了