求行为检测（这东西是个破解程序，这么多误报）

显示全部楼层 · 发表于 2011-4-13 15:29:14

武神；Malware:Backdoor.Win32.Popwin.~IQ

http://valkyrie.comodo.com/Resul ... Setup1845_Patch.exe

显示全部楼层 · 发表于 2011-4-13 15:44:20

回复 1楼 zzh161 的帖子

clean

显示全部楼层 · 发表于 2011-4-13 23:07:41

趋势kill 1 virus (MAL)~

显示全部楼层 · 发表于 2011-4-13 23:14:15

本帖最后由 s8706042 于 2011-4-13 23:14 编辑

可疑的地方:
@@创建注册表键值HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
@@创建注册表键值HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio
2011-04-13 23:10:08 C:\Documents and Settings\GG3\桌面\VA_X_Setup1845_Patch.exe@@创建注册表键值HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio Compression Manager\ HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio Compression Manager\
2011-04-13 23:10:08 C:\Documents and Settings\GG3\桌面\VA_X_Setup1845_Patch.exe
@@创建注册表键值HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio Compression Manager\MSACM HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio Compression Manager\MSACM
2011-04-13 23:10:08 C:\Documents and Settings\GG3\桌面\VA_X_Setup1845_Patch.exe
@@创建注册表键值HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio Compression Manager\Priority v4.00 HKEY_USERS\S-1-5-21-1957994488-1677128483-1343024091-1003\Software\Microsoft\Multimedia\Audio Compression Manager\Priority v4.00

显示全部楼层 · 发表于 2011-4-14 07:17:13

ppy0606 发表于 2011-4-13 15:25
点了都木得反应

读取系统文件和注册表...!

显示全部楼层 · 发表于 2011-4-14 15:23:31

回复 15楼 liulangzhecgr 的帖子

我试了两个规则都木有日志...

显示全部楼层 · 发表于 2011-4-14 15:26:39

回复 16楼 ppy0606 的帖子

我用eq+极限安防规则...通过!
无奈!最后用 procmon 跟踪...!

显示全部楼层 · 发表于 2011-4-14 15:29:53

回复 17楼 liulangzhecgr 的帖子

你去跑下我开帖的那货

我觉得可疑....

[误报文件] 求行为检测（这东西是个破解程序，这么多误报）