fake（更新851楼）

显示全部楼层 · 发表于 2011-5-28 02:40:41

495L MSE KILL

显示全部楼层 · 发表于 2011-5-28 06:39:44

495L
to eset

http://samples.nod32.com.hk/inde ... 7ca6f2cdba87ca0b3ea

显示全部楼层 · 发表于 2011-5-28 08:15:51

2011-05-28 08:10:46 文件保护(创建文件) 操作:阻止并结束进程
进程路径:E:\Downloads\pusk2\pusk2.exe
文件路径:C:\Documents and Settings\All Users\Application Data\WbVhxCIDDK.exe

显示全部楼层 · 发表于 2011-5-28 09:31:47

495L，大蜘蛛：
pusk2.exe infected with Trojan.Fakealert.21460

显示全部楼层 · 发表于 2011-5-28 10:44:43

495L，过avast!6.0，上报……

显示全部楼层 · 发表于 2011-5-28 16:40:43

to escan
Gen:Variant.Kazy.24510 (DB)

显示全部楼层 · 发表于 2011-5-28 17:50:55

update

显示全部楼层 · 发表于 2011-5-28 17:52:41

本帖最后由咆哮的蜗牛于 2011-5-28 17:53 编辑

507L

显示全部楼层 · 发表于 2011-5-28 17:57:56

507
AVG IDP KILLS

显示全部楼层 · 发表于 2011-5-28 18:01:39

本帖最后由 hddu 于 2011-5-28 18:03 编辑

kurakimai 发表于 2011-5-28 17:50
update

2011-05-28 17:52:59 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\pusk2\pusk2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
注册表名称:DisableTaskMgr
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-05-28 17:52:59 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\pusk2\pusk2.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
注册表名称:DisableTaskMgr
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-05-28 17:52:59 创建文件    操作:允许
进程路径:F:\virus\pusk2\pusk2.exe
文件路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*

2011-05-28 17:53:00 创建注册表值    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
注册表路径:HKEY_CURRENT_USER\Software
注册表名称:75fa38b7-8b94-4995-ad32-52e938867954
触发规则:所有程序规则->其他设置项->HKEY_CURRENT_USER\Software

2011-05-28 17:53:03 创建注册表值    操作:允许
进程路径:F:\virus\pusk2\pusk2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
注册表名称:rQcDdQaEEBwu
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

2011-05-28 17:53:36 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\pusk2\pusk2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments
注册表名称:[Key]
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-05-28 17:53:36 创建注册表值    操作:使用任务隔离区操作
进程路径:F:\virus\pusk2\pusk2.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations
注册表名称:[Key]
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-05-28 17:53:52 运行应用程序    操作:允许
进程路径:F:\virus\pusk2\pusk2.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2011-05-28 17:53:53 修改文件    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
文件路径:C:\WINDOWS\System32\spool
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*

2011-05-28 17:53:53 创建文件    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
文件路径:C:\WINDOWS\System32\spool\PRTPROCS\W32X86\2487.tmp
触发规则:所有程序规则->WINDOWS临时文件设置->%windir%\*.tmp

2011-05-28 17:53:53 修改注册表内容    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Print\Providers
注册表名称:Order
更改后:LanMan Print Services
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Control\Print\Providers

2011-05-28 17:54:04 创建文件    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
文件路径:C:\WINDOWS\system32\drivers\1848.tmp
触发规则:所有程序规则->驱动文件保护设置->%WinDir%\system32\drivers\*

2011-05-28 17:54:04 创建文件    操作:允许
进程路径:C:\WINDOWS\system32\spoolsv.exe
文件路径:C:\WINDOWS\system32\drivers\1848.sys
触发规则:所有程序规则->驱动文件保护设置->%WinDir%\system32\drivers\*.sys

2011-05-28 17:54:04 创建注册表值    操作:允许
进程路径:C:\WINDOWS\system32\spoolsv.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\1848
注册表名称:[Key]
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*

2011-05-28 17:54:04 安装服务或者驱动    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
文件路径:C:\WINDOWS\\??\globalroot\systemroot\system32\drivers\1848.sys
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->?:\*

2011-05-28 17:54:04 加载驱动程序    操作:阻止
进程路径:C:\WINDOWS\system32\spoolsv.exe
驱动路径:C:\WINDOWS\system32\drivers\1848.sys
触发规则:应用程序规则->系统程序->%windir%\system32\spoolsv.exe->?:\*

2011-05-28 17:54:54 修改文件    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
文件路径:C:\WINDOWS\system32\drivers\beep.sys
触发规则:所有程序规则->驱动文件保护设置->%WinDir%\system32\drivers\beep.sys

2011-05-28 17:54:54 创建注册表值    操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\-213E8
注册表名称:[Key]
触发规则:所有程序规则->服务_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services*

2011-05-28 17:54:54 安装服务或者驱动    操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Adobe_Flash_Player.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\-213E8.tmp
触发规则:应用程序规则->TEMP临时目录->*\Temp\*->?:\*

2011-05-28 17:56:00 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:Hidden
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2011-05-28 17:56:00 修改注册表内容    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:ShowSuperHidden
触发规则:所有程序规则->资源管理器->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

2011-05-28 17:56:00 创建注册表值    操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop
注册表名称:[Key]
触发规则:所有程序规则->其他重要项->*\SOFTWARE\Microsoft\Windows\CurrentVersion\policies*

2011-05-28 17:56:02 创建文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
文件路径:C:\Documents and Settings\Administrator\Recent
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\Administrator\*

2011-05-28 17:56:02 创建文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
文件路径:C:\Documents and Settings\Administrator\Recent
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\Administrator\*

2011-05-28 17:56:02 修改注册表内容    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDesktop
触发规则:所有程序规则->资源管理器->*\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

2011-05-28 17:56:08 删除文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\Windows Catalog.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\*.lnk

2011-05-28 17:56:10 删除文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\Windows Update.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\*.lnk

2011-05-28 17:56:22 删除文件    操作:阻止
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\**有线宽带登陆\**有线宽带登陆 on the Web.url
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\*

2011-05-28 17:56:24 删除文件    操作:阻止并结束进程
进程路径:C:\Documents and Settings\All Users\Application Data\rQcDdQaEEBwu.exe
文件路径:C:\Documents and Settings\All Users\「开始」菜单\程序\游戏\扫雷.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\游戏\*

无新意，都是那几招。

[病毒样本] fake（更新851楼）

本帖子中包含更多资源

本帖子中包含更多资源