高手分析下行为(专业黑客网站下载的工具)

弧光

还有人分析吗。HIPS的分析下

ppy0606

2010-12-16 23:30:23    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\viurs test\e网ddossvip破解版nb5.5\e网ddossvip破解版nb5.5.exe
命令行: "D:\我的文档\viurs test\E网DDOSsVIP破解版NB5.5\E网DDOSsVIP破解版NB5.5.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2010-12-16 23:30:27    修改注册表值    阻止
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\D:\我的文档\viurs test\E网DDOSsVIP破解版NB5.5\E网DDOSsVIP破解版NB5.5.exe
值: D:\我的文档\viurs test\E网DDOSsVIP破解版NB5.5\E网DDOSsVIP破解版NB5.5.exe:*:Disabled:NetBot_Attacker
规则: [注册表组]网络相关设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\SharedAccess\Parameters\FirewallPolicy*

2010-12-16 23:30:31    结束其他进程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\rundll32.exe
规则: [应用程序]c:\windows\system32\svchost.exe

---------------------------------------------------------------------------------------------------------------

弧光

回复 22楼 ppy0606 的帖子

肉鸡攻击？？？

lifesaw

楼上的图片好给力啊 哈哈！！！

zuo

回复 21楼 弧光 的帖子

2010-12-17 20:24:40    从其他进程复制句柄    阻止
进程: c:\windows\system32\svchost.exe
目标: c:\documents and settings\administrator\桌面\e网ddossvip破解版nb5[1].5\e网ddossvip破解版nb5.5.exe
句柄: (File) \Device\Afd\Endpoint
规则: [应用程序]c:\windows\system32\svchost.exe




这类黑客工具，杀软都是一律封杀的，所以要判别是否安全，绝对不能凭杀软[:26:]

xqiafl

回复 20楼 弧光 的帖子

直接用USERS 组用户 去运行客户端， 如果成功运行，则没有后门，
  如果运行中报错，则表示有后门。。。。。

xcffl

金山报病毒，行为分析看这个：

弧光

回复 25楼 zuo 的帖子

什么我才找HIPS高手分析行为呵呵