修改rundll32.exe和ctfmon.exe的?!

tawny2008

回复 1楼 liulangzhecgr 的帖子

哪两个规则？
====================

虚拟机测试，极限规则很有鸭梨，执行后此样本一直运行自身，后来看没停止的样子，只能用wsyscheck禁止此程序运行了，禁止后系统无异常。。

liu5678

NIS扫描很不给力
居然什么都没发现～～～～
尴尬
不过我没敢运行测试SONAR

liulangzhecgr

回复 31楼 tawny2008 的帖子

eq+大小姐的高级询问规则！

hddu坛友！不知道用什么规则（好像他自己的规则）

周末到家！不敢用安防规则测试样本！


怎么没有找出系统文件被改？！。。。

oy-ll

2010-12-10 21:33:31    创建文件    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\rundll.zeif
规则: [应用程序]d:\我的文档\桌面\ww\融合.exe -> [文件]c:\windows; rundll.zeif

2010-12-10 21:33:35    创建新进程    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: d:\我的文档\桌面\ww\融合.exe
命令行: D:\我的文档\桌面\ww\融合.exe
规则: [应用程序]*

2010-12-10 21:33:35    修改文件    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\rundll.zeif
规则: [应用程序]d:\我的文档\桌面\ww\融合.exe -> [文件]c:\windows; rundll.zeif

2010-12-10 21:33:46    创建新进程    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: d:\我的文档\桌面\ww\融合.exe
命令行: D:\我的文档\桌面\ww\融合.exe
规则: [应用程序]*

2010-12-10 21:33:46    修改文件    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\rundll.zeif
规则: [应用程序]d:\我的文档\桌面\ww\融合.exe -> [文件]c:\windows; rundll.zeif

2010-12-10 21:34:09    创建新进程    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: d:\我的文档\桌面\ww\融合.exe
命令行: D:\我的文档\桌面\ww\融合.exe
规则: [应用程序]*

2010-12-10 21:34:16    结束其他进程    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: c:\windows\system32\rundll32.exe
规则: [应用程序]*

2010-12-10 21:34:16    修改文件    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\rundll.zeif
规则: [应用程序]d:\我的文档\桌面\ww\融合.exe -> [文件]c:\windows; rundll.zeif

2010-12-10 21:34:23    创建新进程    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: d:\我的文档\桌面\ww\融合.exe
命令行: D:\我的文档\桌面\ww\融合.exe
规则: [应用程序]*

2010-12-10 21:34:23    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:23    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:23    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:23    修改文件    阻止并结束进程
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:32    结束其他进程    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: c:\windows\system32\rundll32.exe
规则: [应用程序]*

2010-12-10 21:34:32    修改文件    允许
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\rundll.zeif
规则: [应用程序]d:\我的文档\桌面\ww\融合.exe -> [文件]c:\windows; rundll.zeif

2010-12-10 21:34:35    创建新进程    阻止并结束进程
进程: d:\我的文档\桌面\ww\融合.exe
目标: d:\我的文档\桌面\ww\融合.exe
命令行: D:\我的文档\桌面\ww\融合.exe
规则: [应用程序]*

2010-12-10 21:34:35    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:35    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:35    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:35    修改文件    阻止并结束进程
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:38    结束其他进程    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: c:\windows\system32\rundll32.exe
规则: [应用程序]*

2010-12-10 21:34:38    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:38    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:38    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:38    修改文件    阻止并结束进程
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:40    结束其他进程    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: c:\windows\system32\rundll32.exe
规则: [应用程序]*

2010-12-10 21:34:40    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:40    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:40    创建文件    阻止
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

2010-12-10 21:34:40    修改文件    阻止并结束进程
进程: d:\我的文档\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]关键系统文件保护（阻止结束） -> [文件]c:\windows\*; *.exe

让它创建修改C:\windows\rundll.zeif还是突破不了规则呀。更何况平时它连创建这个文件的权限都没有。

tawny2008

回复 33楼 liulangzhecgr 的帖子

不敢用安防规则测试样本的原因是？？是不是很容易被过？？最近被过了多少？

liulangzhecgr

回复 35楼 tawny2008 的帖子

我认为eq问题!而不是规则问题啊！用eq阻止创建，阻止修改 也结果被改！

我这是实机！
要测试的话先关闭软件限制策略！在修改ntfs权限（注册表权限），在关闭杀软！ 还有备份两个系统文件。。。

tingyue-wu

回复 36楼 liulangzhecgr 的帖子

看30楼 我似乎解决了

xiaoyaosanren

ESET 可以杀了

zuo

回复 36楼 liulangzhecgr 的帖子


2010-12-10 22:04:16    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:16    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:16    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:16    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:16    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:17    结束其他进程    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: c:\windows\system32\ctfmon.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [目标应用程序]c:\windows\system32\ctfmon.exe

2010-12-10 22:04:17    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:17    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:17    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:17    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:17    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:17    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:17    修改注册表值    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
值: "c:\windows\rundll.zeif" "%1" %*
规则: [注册表组]关键文件关联保护(结束进程) -> [注册表]*\exefile\shell\open\command

2010-12-10 22:04:17    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:17    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:17    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:17    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:17    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:17    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:18    结束其他进程    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: c:\windows\system32\ctfmon.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [目标应用程序]c:\windows\system32\ctfmon.exe

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:18    修改注册表值    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
值: "c:\windows\rundll.zeif" "%1" %*
规则: [注册表组]关键文件关联保护(结束进程) -> [注册表]*\exefile\shell\open\command

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:18    结束其他进程    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: c:\windows\system32\ctfmon.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [目标应用程序]c:\windows\system32\ctfmon.exe

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:18    修改注册表值    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
值: "c:\windows\rundll.zeif" "%1" %*
规则: [注册表组]关键文件关联保护(结束进程) -> [注册表]*\exefile\shell\open\command

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:18    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\rundll32.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; rundll32.exe

2010-12-10 22:04:19    结束其他进程    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: c:\windows\system32\ctfmon.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [目标应用程序]c:\windows\system32\ctfmon.exe

2010-12-10 22:04:19    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:19    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:19    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\dllcache\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32\dllcache\*

2010-12-10 22:04:19    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:19    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:19    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: C:\windows\system32\ctfmon.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; ctfmon.exe

2010-12-10 22:04:19    修改注册表值    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\ww\融合.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
值: "c:\windows\rundll.zeif" "%1" %*
规则: [注册表组]关键文件关联保护(结束进程) -> [注册表]*\exefile\shell\open\command

liulangzhecgr

回复 37楼 tingyue-wu 的帖子

文件关联问题解决啦？！
eq的fd 没有阻止创建，修改文件呢？！