囧神远控【伪】过大部分杀软。

s8706042

已上報趨勢嚕~

猪头无双

360网盾报启发

360hips

√×√×√√× 发表于 2010-12-24 21:46
我和白羊现场测试的，肯定有行为。7.6 S版无法拦截，看似无行为，其实已经上线了。我这就差点杯具 ...

主防本来就不拦上线只拦重启上线，这个过不了7.6s

jayavira

ess kill

D:\下载文件夹\123.rar > RAR > 123\123.exe - 可能是 Win32/Genetik 特洛伊木马 的变种

qq541471559

MSE杀之
类别: 特洛伊木马

描述: 这个程序很危险，它执行来自攻击者的命令。

建议的操作: 立即删除这个软件。

Security Essentials 检测到可能会侵害您的隐私或损坏计算机的程序。您仍然可以访问这些程序所使用的文件而不删除这些程序(不推荐)。若要访问这些文件，请选择“允许”操作，并单击“应用操作”。如果此选项不可用，请以管理员身份登录或请求安全管理员提供帮助。

项目:
containerfile:C:\Users\Administrator\Desktop\123.rar
file:C:\Users\Administrator\Desktop\123.rar->123\123.exe->(UPX)
webfile:C:\ProgramData\Microsoft\Microsoft Antimalware\LocalCopy\{E2CC80A1-F6DB-4F0B-BC80-A3AEED1E4D18}-123.rar|http://bbs.kafan.cn/forum-attach ... Q5MDAzNw%3D%3D.html
webfile:C:\Users\Administrator\Desktop\123.rar|http://bbs.kafan.cn/forum-attach ... Q5MDAzNw%3D%3D.html

d4875163

过双煞

kingsheet

antique

卡巴拦截。。。。

ppy0606

2010-12-25 10:28:10    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\viurs test\123\123\123.exe
命令行: "d:\我的文档\viurs test\123\123\123.exe"
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]d:\我的文档\*

2010-12-25 10:28:12    创建文件    允许
进程: d:\我的文档\viurs test\123\123\123.exe
目标: C:\WINDOWS\1.bat
规则: [文件组]系统核心目录Ⅰ -> [文件]c:\windows\*; *.bat

2010-12-25 10:28:12    修改文件    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-25 10:28:12    修改文件    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-25 10:28:12    修改文件    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-25 10:28:12    修改文件    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: \Device\NamedPipe\wkssvc
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [文件]\device\namedpipe\*

2010-12-25 10:28:13    修改注册表值    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: d:\我的文档
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-25 10:28:15    修改注册表值    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-25 10:28:15    修改注册表值    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-25 10:28:16    修改注册表值    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-25 10:28:17    修改注册表值    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-25 10:28:18    修改注册表值    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]资源管理器相关设置 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2010-12-25 10:28:20    创建新进程    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ""C:\WINDOWS\1.bat" "
规则: [应用程序组]系统程序 -> [应用程序]* -> [子应用程序]c:\windows\system32\cmd.exe

2010-12-25 10:28:24    创建文件    阻止
进程: d:\我的文档\viurs test\123\123\123.exe
目标: C:\WINDOWS\`.bat
规则: [文件组]系统核心目录Ⅰ -> [文件]c:\windows\*; *.bat


---------------------------------------------------------------------------------------

2010-12-25 10:31:47    创建新进程    阻止并结束进程
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]威胁提示Ⅰ -> [应用程序]* -> [子应用程序]c:\windows\*

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\

2010-12-25 10:31:47    创建文件夹    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\ccc
规则: [文件组]文件阻止及保护 -> [文件]?:\



---------------------------------------------------------------------------------------

@Echo OFF
cd\
del "C:\Documents and Settings\All Users\「开始」菜单\程序\启动\df.lnk"
:try
mkdir "C:\ccc\"
copy /y  "d:\我的文档\viurs test\123\123\123.exe"    "C:\ccc\conime.exe"
if not exist "C:\ccc\conime.exe" goto try
del  %0
exit

童话小米饭

虚机中，无任何防御
运行——无限弹窗（-self）
重启——没弹窗——XT检测（没有进程、启动项等中毒迹象）
感觉是即时恶搞程序！