瑞星鉴定安全的两个样本，各位看看！

zuo

19103_SSYAFFC (35)：
2011-4-8 22:07:37    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (35).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cache

2011-4-8 22:07:38    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (35).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cookies

2011-4-8 22:07:39    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (35).exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; History

2011-4-8 22:07:40    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (35).exe
目标: TCP [本机 : 1107] ->  [216.121.65.153 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-4-8 22:07:40    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (35).exe
目标: TCP [本机 : 1108] ->  [216.121.65.153 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-4-8 22:07:41    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (35).exe
目标: TCP [本机 : 1109 (kpop)] ->  [174.142.161.90 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-4-8 22:07:41    访问网络    阻止
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (35).exe
目标: TCP [本机 : 1110] ->  [70.38.8.146 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

19103_SSYAFFC (38)：
2011-4-8 22:08:36    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\npb\npb\19103_ssyaffc (38).exe
目标: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
命令行: "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\is-BRL44.tmp\is-HHOBC.tmp" /SL4 $30112 "C:\Documents and Settings\Administrator\桌面\NPB\NPB\19103_SSYAFFC (38).exe" 1156071 52224
规则: [应用程序组]所有程序规则-外部程序执行规则 -> [应用程序]* -> [子应用程序]*temp\*.tmp

2011-4-8 22:08:41    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: C:\Program Files\pumsoft\InstallDll.dll
规则: [文件组]文件安全读写规则(询问创建) -> [文件]*\program files\*; *.dll

2011-4-8 22:08:43    创建文件夹    允许
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: C:\WINDOWS\msdos32
规则: [文件组]系统文件夹写保护(询问创建、修改) -> [文件]c:\windows

2011-4-8 22:08:47    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ppds\Shell\Open\Command
值: "Rundll32.exe" "C:\WINDOWS\msdos32\HtaskDll.dll" orthset
规则: [应用程序组]4D规则-安装进程例外规则 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\?*\shell\open\command

2011-4-8 22:08:51    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: C:\WINDOWS\ucdos.lnk
规则: [文件组]文件安全读写规则(询问创建) -> [文件]c:\windows; *.*

2011-4-8 22:08:53    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cache

2011-4-8 22:08:54    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cookies

2011-4-8 22:08:54    修改注册表值    阻止
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\rundll32.exe
值: Run a DLL as an App
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache

2011-4-8 22:08:55    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; History

2011-4-8 22:08:57    加载动态链接库    阻止
进程: c:\windows\system32\rundll32.exe
目标: c:\windows\msdos32\cmucode.cmcod
规则: [应用程序组]4D应用程序规则-系统进程执行规则 -> [应用程序]c:\windows\system32\rundll32.exe

2011-4-8 22:09:01    创建新进程    阻止
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe"  -nohome
规则: [应用程序组]RD应用程序规则-危险进程执行规则 -> [应用程序]*temp\*.* -> [子应用程序]4D应用程序规则-浏览进程执行规则 -> [应用程序]c:\program files\internet explorer\iexplore.exe

2011-4-8 22:09:03    访问网络    允许
进程: c:\documents and settings\administrator\local settings\temp\is-brl44.tmp\is-hhobc.tmp
目标: TCP [本机 : 1111] ->  [122.224.9.120 : 8022]
规则: [应用程序组]4D规则-安装进程例外规则 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

这两个确实是病毒[:26:]这两个只是广告病毒，没有太多破坏系统的行为

李不知

回复 21楼 zuo 的帖子

是的，但是他们鉴定为安全文件！

李不知

回复 21楼 zuo 的帖子

到目前为止
4.8号22点18分
RS20110407183520078383
还是鉴定为安全文件

02223289680

瑞星对 流氓和广告不怎么感冒