整人程序

ppy0606

2010-12-18 19:10:18    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\wscript.exe
命令行: "C:\WINDOWS\System32\WScript.exe" "d:\我的文档\viurs test\zhengren\ZHENGREN.VBE"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]c:\windows\*

2010-12-18 19:10:20    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:21    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:21    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:22    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:23    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:23    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:24    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:25    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:27    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:28    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:28    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:29    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:30    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:31    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:31    修改注册表值    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-18 19:10:32    修改注册表值    阻止
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-18 19:10:33    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:33    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:34    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:34    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:35    创建新进程    阻止
进程: c:\windows\system32\wscript.exe
目标: c:\windows\system32\shutdown.exe
命令行: "C:\WINDOWS\system32\shutdown.exe" -s -t 2 -f
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe

2010-12-18 19:10:37    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:38    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:42    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

2010-12-18 19:10:44    修改文件    阻止
进程: c:\windows\system32\wscript.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]系统工具 -> [应用程序]c:\windows\system32\wscript.exe -> [文件]\device\namedpipe\*

ppy0606

2010-12-18 19:11:03    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\viurs test\zhengren\zhenren.exe
命令行: "d:\我的文档\viurs test\zhengren\zhenren.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2010-12-18 19:11:05    创建新进程    阻止
进程: d:\我的文档\viurs test\zhengren\zhenren.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]c:\windows\*

2010-12-18 19:11:07    创建文件    阻止
进程: d:\我的文档\viurs test\zhengren\zhenren.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\147D7.bat
规则: [文件组]Documents and Settings_阻止 -> [文件]?:\documents and settings\*; *.bat

Raid

星空下的吻 发表于 2010-12-18 19:06
@shift
@echo off
rem zhengren

汗，我用QUICKBFC编译的被你解出来了

星空下的吻

回复 13楼 Happy灰太狼 的帖子

必须的

留侯

大蜘蛛clean，加了个壳：ZHENGREN.VBE packed by ENCODED SCRIPT

lyqzg

上报江民、卡巴啦

lyjhlsj

红伞一个未报

tingyue-wu

2010-12-18 21:02:37    运行应用程序      操作:允许
进程路径:F:\病毒和测试\真的毒8\zhenren.exe
文件路径:C:\WINDOWS\System32\cmd.exe
命令行:/c ""C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\4281215.bat" "F:\病毒和测试\真的毒8\zhenren.exe" "
触发规则:高优先规则->警戒级别★★★★★【阻止高危进程】->?:\*


2010-12-18 21:02:37    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\System32\shutdown.exe
命令行:-s -t 3
触发规则:所有程序规则->警戒级别★★★★☆【黑名单-点控制】->%SystemRoot%\system32\shutdown.exe

8073176430

看行为是毒，to eset via e-mail

qiuzhen1976

卡巴没报，金山云引擎报