fake（更新851楼）

zhou0197

2011-5-22 11:10:46    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\我的文档\desktop\pusk.exe
命令行: "D:\我的文档\Desktop\pusk.exe"
规则: [应用程序]*

2011-5-22 11:10:48    修改注册表值    允许
进程: d:\我的文档\desktop\pusk.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
值: 0x00000001(1)
规则: [注册表组]系统设置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\*

2011-5-22 11:10:48    修改注册表值    允许
进程: d:\我的文档\desktop\pusk.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\DisableTaskMgr
值: 0x00000001(1)
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\*

2011-5-22 11:10:48    创建文件    允许
进程: d:\我的文档\desktop\pusk.exe
目标: C:\Documents and Settings\All Users\Application Data\oVlLshwOTG.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-5-22 11:10:49    创建新进程    允许
进程: d:\我的文档\desktop\pusk.exe
目标: c:\documents and settings\all users\application data\ovllshwotg.exe
命令行: "C:\Documents and Settings\All Users\Application Data\oVlLshwOTG.exe"
规则: [应用程序]*

2011-5-22 11:10:49    修改注册表值    允许
进程: d:\我的文档\desktop\pusk.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\oVlLshwOTG
值: C:\Documents and Settings\All Users\Application Data\oVlLshwOTG.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2011-5-22 11:10:50    删除注册表值    允许
进程: c:\windows\system32\ctfmon.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\internat.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2011-5-22 11:10:55    访问网络    允许
进程: d:\我的文档\desktop\pusk.exe
目标: TCP [本机 : 1102] ->  [46.161.10.104 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-5-22 11:11:09    创建文件    允许
进程: d:\我的文档\desktop\pusk.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-5-22 11:11:15    创建新进程    允许
进程: d:\我的文档\desktop\pusk.exe
目标: c:\documents and settings\administrator\local settings\temp\adobe_flash_player.exe
命令行: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Adobe_Flash_Player.exe
规则: [应用程序]*

2011-5-22 11:11:15    修改文件    允许
进程: d:\我的文档\desktop\pusk.exe
目标: D:\我的文档\Desktop\pusk.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-5-22 11:11:16    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Spooler\Start
值: 0x00000002(2)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2011-5-22 11:11:17    修改注册表值    允许
进程: d:\我的文档\desktop\pusk.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\VMwareDnD\c9f624b1\  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\VMwareDnD\587f9649\  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\VMwareDnD\4076b603\  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp4F39.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-5-22 11:11:18    修改注册表值    允许
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Providers\4544\Name
值: C:\WINDOWS\System32\spool\PRTPROCS\W32X86\4547.tmp
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Providers\*; Name

2011-5-22 11:11:18    创建文件    允许
进程: c:\windows\system32\spoolsv.exe
目标: C:\WINDOWS\system32\drivers\7358.sys
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys

2011-5-22 11:11:19    修改注册表值    允许
进程: c:\documents and settings\administrator\local settings\temp\adobe_flash_player.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\VMwareDnD\c9f624b1\  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\VMwareDnD\587f9649\  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\VMwareDnD\4076b603\  \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp4F39.tmp  \??\C:\DOCUME~1\ADMINI~1\LO
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-5-22 11:11:19    创建注册表项    允许
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\7358
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-5-22 11:11:20    修改文件    允许
进程: c:\documents and settings\administrator\local settings\temp\adobe_flash_player.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-5-22 11:11:21    修改注册表值    允许
进程: c:\windows\system32\spoolsv.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\7358\imagepath
值: \??\globalroot\systemroot\system32\drivers\7358.sys
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

aaaaoooo

409L
金山鉴定中
360SD KILL

KOI9009

409L
360 SD QVM20 Kill

留侯

409L，大蜘蛛：
/pusk.exe infected with Trojan.Fakealert.21216

zhousulin5

409，仍然是那样

2011-5-22 15:59:10        d:\downloads\testvir\pusk\pusk.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData        阻止        [应用程序组]本地磁盘分区 -> [注册表组]系统设置重要        值: C:\Documents and Settings\All Users\Application Data
2011-5-22 15:59:11        d:\downloads\testvir\pusk\pusk.exe        修改注册表值        HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr        阻止并结束进程        [应用程序组]本地磁盘分区 -> [注册表组]高风险项        值: 0x00000001(1)

sbbdms

更新

saga3721

回复 416楼 sbbdms 的帖子

晕，怎么谁都找得到它呢？作者做这玩意儿还有毛用啊，尽当宠物了

KOI9009

416L
360 SD Kill 2X

kurakimai

UPDATE

kurakimai

NOD32休息几天

免杀成堆