小病毒 110323 密码：1

hx1997

回复 10楼 522586971 的帖子

那个是行为控制，不是特征码吧

522586971

回复 11楼 hx1997 的帖子

一回事，模块之间都是耦合的

hx1997

回复 12楼 522586971 的帖子

我不是说耦合的问题，我是说特征码之类的扫描没检出就算是miss了，行为分析那是后话了

594157544

诺顿 kill

s8706042

趋势 all kill (TROJ+BKDR)~

522586971

回复 13楼 hx1997 的帖子

跟你解释不清楚。。

ppy0606

2011-3-23 22:55:32    创建文件夹    阻止
进程: d:\我的文档\viurs test\333\333\gs.exe
目标: C:\Program Files\Common Files\realteck
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [文件组]文件保护 -> [文件]?:\program files\*

2011-3-23 22:55:36    创建文件    阻止
进程: d:\我的文档\viurs test\333\333\gs.exe
目标: C:\WINDOWS\system32\16029687.LOG
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [文件组]文件保护 -> [文件]c:\windows\system32\*

2011-3-23 22:55:48    修改文件    阻止
进程: d:\我的文档\viurs test\333\333\gs.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-23 22:55:48    修改文件    阻止
进程: d:\我的文档\viurs test\333\333\gs.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-23 22:55:48    修改文件    阻止
进程: d:\我的文档\viurs test\333\333\gs.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-23 22:55:48    修改文件    阻止
进程: d:\我的文档\viurs test\333\333\gs.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件]*

2011-3-23 22:55:48    创建新进程    阻止并结束进程
进程: d:\我的文档\viurs test\333\333\gs.exe
目标: c:\windows\explorer.exe
命令行: "C:\WINDOWS\explorer.exe"
规则: [应用程序]* -> [子应用程序]cx(禁放)w -> [应用程序]c:\windows\*.exe

----------------------------------------------------------

2011-3-23 22:56:45    创建文件夹    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: C:\Documents and Settings\Administrator\Application Data\temp
规则: [文件]*

2011-3-23 22:56:45    创建文件夹    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\dc_tmp_path
规则: [文件]*

2011-3-23 22:56:45    修改注册表值    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\宽带连接
值: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\dc_tmp_path\scvhost.exe
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2011-3-23 22:56:45    修改其他进程的内存    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-3-23 22:56:45    修改其他进程的内存    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-3-23 22:56:45    修改其他进程的内存    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-3-23 22:56:45    修改其他进程的内存    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-3-23 22:56:45    修改其他进程的内存    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2011-3-23 22:56:45    安装全局消息钩子    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: d:\我的文档\viurs test\333\333\s.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序]*

2011-3-23 22:56:46    修改注册表值    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\宽带连接
值: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\dc_tmp_path\scvhost.exe
规则: [应用程序组]cx自用程序(陌生程序 自写规则) -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Run*

2011-3-23 22:56:47    访问网络    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: TCP [本机 : 2675] ->  [127.0.0.1 : 8080]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-3-23 22:56:49    访问网络    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: UDP [本机 : 65289] ->  [222.246.129.80 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-3-23 22:56:49    访问网络    阻止
进程: d:\我的文档\viurs test\333\333\s.exe
目标: TCP [本机 : 2676] ->  [0.0.0.0 : 8080]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

------------------------------------------------------------

2011-3-23 23:01:25    创建新进程    阻止并结束进程
进程: d:\我的文档\viurs test\333\333\zuo.exe
目标: c:\windows\system32\rundll32.exe
命令行: rundll32.exe C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\16379093.dll testall
规则: [应用程序]* -> [子应用程序]cx(禁放)w -> [应用程序]c:\windows\*.exe

hj5abc

清空

viruskiller123

360KILLED