磁碟机

JusticeH

BDAV2011
Found:
pagefile.pif Application.Generic.176065  
AUTORUN.INF Trojan.Harnig.WA

wmcxdb

2010-11-18 20:02:13    向其他进程发送消息    允许
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\explorer.exe
消息: 0x0161
规则: [应用程序]f:\下载\磁碟机\pagefile.pif -> [目标应用程序]c:\windows\explorer.exe

2010-11-18 20:02:14    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: d:\program files\theworld\theworld.exe
消息: WM_GETHOTKEY
规则: [应用程序]*

2010-11-18 20:02:16    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
规则: [注册表]*

2010-11-18 20:02:16    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c echo ok
规则: [应用程序]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden
值: 0x00000000(0)
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2010-11-18 20:02:16    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
规则: [注册表组]注册表保护 -> [注册表]*\SYSTEM\*ControlSet*\Control\SafeBoot\*

规则: [注册表组]注册表保护 -> [注册表]*\SYSTEM\*ControlSet*\Control\SafeBoot\*

2010-11-18 20:02:16    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun
值: 0x00000091(145)
规则: [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Type
值: radio
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\db\Local Settings\Temporary Internet Files
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\db\Cookies
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\db\Local Settings\History
规则: [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ceb75210-7081-11de-a8c7-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ceb7520d-7081-11de-a8c7-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ceb7520f-7081-11de-a8c7-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b790360a-95ec-11df-8baa-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ceb75211-7081-11de-a8c7-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ceb7520b-7081-11de-a8c7-806d6172696f}\BaseClass
值: Drive
规则: [注册表]*

2010-11-18 20:02:16    挂起其他进程的线程    阻止
进程: c:\windows\system32\dwwin.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]cx系统

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\cacls.exe
值: Control ACLs Program
规则: [注册表]*

2010-11-18 20:02:16    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\cacls.exe
命令行: "C:\WINDOWS\system32\cacls.exe" C:\WINDOWS\system32\com /e /t /g db:F
规则: [应用程序]*

2010-11-18 20:02:16    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\cacls.exe
值: Control ACLs Program
规则: [注册表]*

2010-11-18 20:02:16    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\cacls.exe
命令行: "C:\WINDOWS\system32\cacls.exe" C:\WINDOWS\system32\com /e /t /g Everyone:F
规则: [应用程序]*

2010-11-18 20:02:16    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\WINDOWS\system32\00302.log
规则: [文件组]文件保护 -> [文件]c:\windows\system32\*

2010-11-18 20:02:16    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\NetApi000.sys
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:16    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EQService\Enum
规则: [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services\*

2010-11-18 20:02:16    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EQService\Security
规则: [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EQService
规则: [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{dda3f824-d8cb-441b-834d-be2efd2c1a33}
规则: [注册表组]注册表保护 -> [注册表]*\Software\Policies\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths
规则: [注册表组]注册表保护 -> [注册表]*\Software\Policies\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Hashes\{dc971ee5-44eb-4fe4-ae2e-b91490411bfc}
规则: [注册表组]注册表保护 -> [注册表]*\Software\Policies\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Hashes
规则: [注册表组]注册表保护 -> [注册表]*\Software\Policies\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0
规则: [注册表组]注册表保护 -> [注册表]*\Software\Policies\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
规则: [注册表组]注册表保护 -> [注册表]*\Software\Policies\*

2010-11-18 20:02:17    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer
规则: [注册表组]注册表保护 -> [注册表]*\Software\Policies\*

2010-11-18 20:02:17    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\WINDOWS\system32\com\smss.exe
规则: [文件组]文件保护 -> [文件]c:\windows\system32\*

2010-11-18 20:02:17    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\WINDOWS\system32\com\netcfg.000
规则: [文件组]文件保护 -> [文件]c:\windows\system32\*

2010-11-18 20:02:17    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\WINDOWS\system32\com\netcfg.000 !\??\C:\WINDOWS\system32\com\netcfg.dll
规则: [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Control\Session Manager\*

2010-11-18 20:02:17    修改注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\regsvr32.exe
值: Microsoft(C) Register Server
规则: [注册表]*

2010-11-18 20:02:17    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\regsvr32.exe
命令行: "C:\WINDOWS\system32\regsvr32.exe" C:\WINDOWS\system32\com\netcfg.dll /s
规则: [应用程序]*

2010-11-18 20:02:17    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\WINDOWS\system32\com\lsass.exe
规则: [文件组]文件保护 -> [文件]c:\windows\system32\*

2010-11-18 20:02:17    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\lsass.exe.5717000.exe
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:33    调试其他进程    阻止
进程: c:\windows\system32\drwtsn32.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]cx系统

2010-11-18 20:02:34    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_ENDSESSION
规则: [应用程序]*

2010-11-18 20:02:35    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\explorer.exe
命令行: explorer.exe
规则: [应用程序]*

2010-11-18 20:02:35    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\lsass.exe.5739750.exe
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:35    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\lsass.exe.5739750.exe
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:35    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\lsass.exe.5739750.exe
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:35    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: 0x0019
规则: [应用程序]*

2010-11-18 20:02:35    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_DEVMODECHANGE
规则: [应用程序]*

2010-11-18 20:02:35    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_FONTCHANGE
规则: [应用程序]*

2010-11-18 20:02:35    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_CANCELMODE
规则: [应用程序]*

2010-11-18 20:02:35    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_MOUSEACTIVATE
规则: [应用程序]*

2010-11-18 20:02:36    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\explorer.exe
命令行: explorer.exe
规则: [应用程序]*

2010-11-18 20:02:36    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\lsass.exe.5740750.exe
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:36    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\lsass.exe.5740750.exe
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:36    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_TIMECHANGE
规则: [应用程序]*

2010-11-18 20:02:36    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_SETCURSOR
规则: [应用程序]*

2010-11-18 20:02:37    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\explorer.exe
命令行: explorer.exe
规则: [应用程序]*

2010-11-18 20:02:37    创建文件    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: C:\lsass.exe.5741750.exe
规则: [文件组]文件保护 -> [文件]?:\

2010-11-18 20:02:37    向其他进程发送消息    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\csrss.exe
消息: WM_QUEUESYNC
规则: [应用程序]*

2010-11-18 20:03:04    删除注册表项    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DW
规则: [注册表]*

2010-11-18 20:03:04    删除注册表值    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DW\DWFileTreeRoot
规则: [注册表]*

2010-11-18 20:03:04    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\dwwin.exe
命令行: C:\WINDOWS\system32\dwwin.exe -x -s 668
规则: [应用程序]*

2010-11-18 20:03:04    创建新进程    阻止
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windows\system32\drwtsn32.exe
命令行: C:\WINDOWS\system32\drwtsn32 -p 3392 -e 632 -g
规则: [应用程序]*

schumi小粉

咖啡 全杀

歌歌的人

dgyxq

wmcxdb 发表于 2010-11-18 20:16
2010-11-18 20:02:13    向其他进程发送消息    允许
进程: f:\下载\磁碟机\pagefile.pif
目标: c:\windo ...

貌似没有看到它创建了rar.exe和cmd.exe啊。如果反复尝试各种杀毒程序后，进程里会出现N个rar.exe和cmd.exe的，并且它会阻止打开任何与杀毒程序有关的网页。

conan1229

估计是比较初始的，被这么多杀软杀

尤金卡巴斯基

Kaspersky - Worm.Win32.AutoRun.dck

天道酬勤QQ

金山网盾KILL
worm.viking.22b
拜托 是威金好不好……

hddu

EQ测试，机子重伤，正在救治中。

xiaoyaosanren