fake（更新851楼）

kurakimai

UPDATE

liulangzhecgr

kurakimai 发表于 2011-4-21 08:39
回复 44楼 liulangzhecgr 的帖子

又死机啦？？？

此样本运行两次...因古董机而失败告终!

liulangzhecgr

kurakimai 发表于 2011-4-21 08:46
UPDATE

更新!

jayavira

21日
to eset

http://camas.comodo.com/cgi-bin/ ... f5d2bb8f5c0c165f9f2

http://samples.nod32.com.hk/inde ... d899e11c307299aa4c1

KOI9009

21日
360 SD Kill

hj5abc

4.21
to mmpc

4.20
Rogue:Win32/FakeRean

liulangzhecgr

死机...无奈!

仅存的一段日志:

2011-04-21 10:03:15    应用程序保护已经开启.


2011-04-21 10:03:15    注册表保护已经开启.


2011-04-21 10:03:15    文件保护已经开启.


2011-04-21 10:03:49    创建文件      操作:允许
进程路径:E:\DownLoads\pusk2\pusk2.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Application Data\bwb.exe


2011-04-21 10:03:49    修改注册表内容      操作:阻止
进程路径:E:\DownLoads\pusk2\pusk2.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess
注册表名称:Start


2011-04-21 10:03:50    结束/挂起进程      操作:阻止
进程路径:E:\DownLoads\pusk2\pusk2.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe


2011-04-21 10:03:50    结束/挂起进程      操作:阻止
进程路径:E:\DownLoads\pusk2\pusk2.exe
目标进程:C:\Program Files\Internet Explorer\iexplore.exe


2011-04-21 10:03:52    运行应用程序      操作:允许
进程路径:E:\DownLoads\pusk2\pusk2.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Application Data\bwb.exe
命令行:-gav E:\DownLoads\pusk2\pusk2.exe

死机...

wmcxdb

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Local AppData
值: C:\Documents and Settings\d\Local Settings\Application Data
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Templates
值: C:\Documents and Settings\d\Templates
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\d\Local Settings\Application Data\hlk.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\d\Local Settings\Application Data\knu.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\d\Local Settings\Application Data\dmh.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\d\Local Settings\Application Data\jmp.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\d\Local Settings\Application Data\fqt.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\All Users\Application Data\bac.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\All Users\Application Data\ylm.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\All Users\Application Data\clp.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\All Users\Application Data\ecq.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\All Users\Application Data\gsw.exe
规则: [应用程序组]●研磨 -> [文件]*

2011-4-21 11:38:31    创建文件    允许
进程: f:\下载\pusk2(1)\pusk2.exe
目标: C:\Documents and Settings\d\Local Settings\Temp\xxe.exe
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\pusk2*\pusk2.exe -> [文件组]允许文件 -> [文件]?:\*\local*\temp\*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall
值: 0x00000000(0)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DoNotAllowExceptions
值: 0x00000000(0)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DisableNotifications
值: 0x00000001(1)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\EnableFirewall
值: 0x00000000(0)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\DoNotAllowExceptions
值: 0x00000000(0)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\DisableNotifications
值: 0x00000001(1)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Start
值: 0x00000004(4)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\System\*ControlSet*\Services*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify
值: 0x00000001(1)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Security Center*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusOverride
值: 0x00000001(1)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Security Center*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify
值: 0x00000001(1)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Security Center*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallOverride
值: 0x00000001(1)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Security Center*

2011-4-21 11:38:31    修改注册表值    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify
值: 0x00000001(1)
规则: [应用程序组]●研磨 -> [注册表组]注册表保护 -> [注册表]*\SOFTWARE\Microsoft\Security Center*

2011-4-21 11:38:31    停止驱动程序或服务    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: Automatic Updates
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序组]●研磨

2011-4-21 11:38:31    删除驱动程序或服务    阻止
进程: f:\下载\pusk2(1)\pusk2.exe
目标: Automatic Updates
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序组]●研磨

2011-4-21 11:38:31    创建新进程    允许
进程: f:\下载\pusk2(1)\pusk2.exe
目标: c:\documents and settings\db\local settings\temp\xxe.exe
命令行: "C:\DOCUME~1\db\LOCALS~1\Temp\xxe.exe" -gav F:\下载\pusk2(1)\pusk2.exe
规则: [应用程序组]●研磨 -> [应用程序]f:\下载\pusk2*\pusk2.exe -> [子应用程序]c:\documents and settings\db\local settings\temp\*.exe

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\db\Local Settings\Application Data\46v83cv3wp60
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\db\Local Settings\Application Data\4040727033
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\db\Local Settings\Application Data\3609772090
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\All Users\Application Data\46v83cv3wp60
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\All Users\Application Data\4040727033
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\All Users\Application Data\3609772090
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\db\Templates\46v83cv3wp60
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\db\Templates\4040727033
规则: [文件]*

2011-4-21 11:38:31    创建文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: C:\Documents and Settings\db\Templates\3609772090
规则: [文件]*

2011-4-21 11:38:31    删除文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: F:\下载\pusk2(1)\pusk2.exe
规则: [文件]*

2011-4-21 11:38:41    修改文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-4-21 11:38:41    修改文件    阻止
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2011-4-21 11:38:42    修改注册表值    阻止并结束进程
进程: c:\documents and settings\db\local settings\temp\xxe.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe
值: C:\WINDOWS\system32\ctfmon.exe
规则: [应用程序]* -> [注册表组]阻止结束

zst470396853

360杀   金山报安全

西风萧雨

KIS2011 MISS.TO KL~~~