多引擎没有报的，请hips测试

显示全部楼层 · 发表于 2007-5-10 23:43:11

2007-5-10 23:22:27 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-5-10 23:22:16
类型: 编辑一个文件/目录
风险: 中等

程序
PID: 3220
PPID: 420
UID: JLJ\jljqq
文件：E:\下载\GUOHONGSAN\GUOHONGSAN\MALWARE.EXE

对象
文件/目录: C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\GLB1A2B.EXE
用户操作: 允许
***************************************************
2007-5-10 23:22:43 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-5-10 23:22:28
类型: 查看一个文件/目录
风险: 中等

程序
PID: 3220
PPID: 420
UID: JLJ\jljqq
文件：E:\下载\GUOHONGSAN\GUOHONGSAN\MALWARE.EXE

对象
文件/目录: C:\DOCUMENTS AND SETTINGS\JLJQQ\LOCAL SETTINGS\TEMP\GLB1A2B.EXE
用户操作: 允许
***************************************************
2007-5-10 23:23:40 !**************************************************
Safe'n'Sec 警报
行为
时间: 2007-5-10 23:22:43
类型: 改变了一个系统注册表的键值
风险: 中等

行为监控规则
名称: 禁修改HLM\Session Manager\#*#值

程序
PID: 3220
PPID: 420
UID: JLJ\jljqq
文件: E:\下载\GUOHONGSAN\GUOHONGSAN\MALWARE.EXE

对象
键值: \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\CONTROL\SESSION MANAGER\PENDINGFILERENAMEOPERATIONS
用户操作: 阻止
***************************************************

显示全部楼层 · 发表于 2007-5-11 07:24:53

汗.向temp注入exe
再汗一个

[病毒样本] 多引擎没有报的，请hips测试