此毒狂笑费尔

win98sp123

   奇怪了，我的微点主防，双击后没反应，就一个访问远程的提示。。。

hansyu

启发，to xandora(panda)

wmcxdb

路过，不敢测试

hddu

wmcxdb 发表于 2010-11-15 19:51
路过，不敢测试

欢迎MD高手路过。

alva0203

过小A。。

KOI9009

金山卫士 拦截
瑞星 2011 Kill

左手

2010-11-15 20:42:17    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:17    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.exe
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:17    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.vbs
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:17    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.bat
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\D\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\F\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\G\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\H\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\I\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\J\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\K\BaseClass
值: Drive
规则: [注册表]*

2010-11-15 20:42:17    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.s
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:17    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.s
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: J:\Local Settings\Temporary Internet Files
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Directory
值: J:\Local Settings\Temporary Internet Files\Content.IE5
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\path1\CacheLimit
值: 0x00009f55(40789)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2010-11-15 20:42:17    访问网络    阻止
进程: j:\virus\1.exe
目标: UDP [本机 : 7369] ->  [127.0.0.1 : 7369]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:42:17    修改文件    阻止
进程: j:\virus\1.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件]*

2010-11-15 20:42:17    修改文件    阻止
进程: j:\virus\1.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [文件]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy
值: 0x00000001(1)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [注册表]*

2010-11-15 20:42:17    删除注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [注册表]*

2010-11-15 20:42:17    删除注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
规则: [注册表]*

2010-11-15 20:42:17    删除注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
值: 3c 00 00 00 73 05 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 40 6d ba 37 27 6c cb 01 01 00 00 00 c0 a8 01 02 00 00 00 00 00 00 00 00
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2010-11-15 20:42:17    修改注册表值    阻止
进程: j:\virus\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2010-11-15 20:42:19    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7370] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:42:19    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7371] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:42:25    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:35    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:45    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:42:56    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:43:06    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:43:16    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:43:21    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7455] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:43:25    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:43:28    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7456] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:43:33    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7462] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:43:35    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:43:40    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7464] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:43:45    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:43:45    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7466] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:43:51    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7470] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:43:56    创建文件    阻止
进程: j:\virus\1.exe
目标: C:\Program Files\PC-201010142159000000000000.t
规则: [文件组]文件保护 -> [文件]?:\program files\*

2010-11-15 20:43:58    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7474] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2010-11-15 20:44:04    访问网络    阻止
进程: j:\virus\1.exe
目标: TCP [本机 : 7479] ->  [205.209.162.124 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

左手

回复 23楼 wmcxdb 的帖子

W兄说反话了。呵。。哪有你不敢跑的样本。。规则太强。可以无视了。
我打算把网络组*改为询问。以后直接阻止并结束掉。。不理这种询问网络的。。

wmcxdb

左手 发表于 2010-11-15 20:50
回复 23楼 wmcxdb 的帖子

W兄说反话了。呵。。哪有你不敢跑的样本。。规则太强。可以无视了。

不要用阻止并结束进程。md可随时结束进程

594157544

  过卡巴  已上报