碰到了压缩炸弹（金山已入库）

显示全部楼层 · 发表于 2011-3-11 11:08:23

习惯很重要,没事接收实物图干嘛?

显示全部楼层 · 发表于 2011-3-12 15:51:18

2011-03-12 15:49:14 创建新进程阻止
进程: c:\documents and settings\administrator\桌面\实物图20jpg.exe
目标: c:\windows\system32\taskkill.exe
命令行: taskkill /f /t /im KSafeSvc.exe
规则: [应用程序]* -> [子应用程序]c:\windows\system32\taskkill.exe

2011-03-12 15:49:14 创建新进程阻止
进程: c:\documents and settings\administrator\桌面\实物图20jpg.exe
目标: c:\windows\system32\taskkill.exe
命令行: taskkill /f /t /im KSafeTray.exe
规则: [应用程序]* -> [子应用程序]c:\windows\system32\taskkill.exe

2011-03-12 15:49:14 修改注册表值阻止
进程: c:\documents and settings\administrator\桌面\实物图20jpg.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32
值: C:\WINDOWS\4663218.dll
规则: [注册表组]注册表保护 -> [注册表]*\Software\Classes\CLSID*

2011-03-12 15:49:15 创建文件阻止
进程: c:\documents and settings\administrator\桌面\实物图20jpg.exe
目标: C:\WINDOWS\4663218.dll
规则: [文件组]Protected[1]_文件保护 -> [文件]c:\windows

2011-03-12 15:49:16 创建文件阻止
进程: c:\documents and settings\administrator\桌面\实物图20jpg.exe
目标: C:\WINDOWS\UcTool.exe
规则: [文件组]Protected[1]_文件保护 -> [文件]c:\windows

显示全部楼层 · 发表于 2011-3-12 17:01:52

回复 12楼 hj5abc 的帖子

还没有杀

显示全部楼层 · 发表于 2011-3-12 17:51:08

本帖最后由 hj5abc 于 2011-3-12 17:53 编辑

62590423 发表于 2011-3-12 17:01
回复 12楼 hj5abc 的帖子

还没有杀

正常
即便杀出来也能靠手动扫监控云无法支持这么大的样本除非入本地特征库
HTTP云邮件云和IM云能不能扫到就不知道了所以这样的样本基本无语

显示全部楼层 · 发表于 2011-3-12 18:03:11

过卡巴

显示全部楼层 · 发表于 2011-3-12 19:00:37

2011/3/12 18:58:34 创建新进程阻止
进程: d:\下载\实物图jpg\实物图20jpg.exe
目标: c:\windows\system32\taskkill.exe
命令行: taskkill /f /t /im KSafeSvc.exe
规则: [应用程序组]●高危程序黑名单组

2011/3/12 18:58:34 创建新进程阻止
进程: d:\下载\实物图jpg\实物图20jpg.exe
目标: c:\windows\system32\taskkill.exe
命令行: taskkill /f /t /im KSafeTray.exe
规则: [应用程序组]●高危程序黑名单组

2011/3/12 18:58:34 创建文件阻止
进程: d:\下载\实物图jpg\实物图20jpg.exe
目标: C:\Users\dxm\AppData\Local\Temp\19244938_res.tmp
规则: [应用程序组]●所有程序通用规则 -> [文件组][FD_00]所有文件

2011/3/12 18:58:34 创建文件阻止
进程: d:\下载\实物图jpg\实物图20jpg.exe
目标: C:\Users\dxm\AppData\Local\Temp\19244938_res.tmp
规则: [应用程序组]●所有程序通用规则 -> [文件组][FD_00]所有文件

显示全部楼层 · 发表于 2011-3-12 19:28:44

卡巴kill

显示全部楼层 · 发表于 2011-3-12 19:43:21

诺顿解压后秒掉

显示全部楼层 · 发表于 2011-3-12 19:53:22

eset 都没让我下完，就kill了

显示全部楼层 · 发表于 2011-3-13 09:05:58

回复 76楼 dm34343667 的帖子

你的这个规则好严。TEMP创建文件可以允许吧？

[病毒样本] 碰到了压缩炸弹（金山已入库）

本帖子中包含更多资源