写 MBR

a256886572008

一个样本

3801187

包里边金山报木马

留侯

大蜘蛛：dll.exe found virus Trojan.KillFiles.6442

dalianjhc1986

ess kill

2011-5-4 12:03:49        HTTP 过滤器        文件        http://bbs.kafan.cn/forum-attach ... U5fDQzNzY2NA==.html        Win32/Olmarik.AMN 特洛伊木马        连接中断 - 已隔离        PC-200201010021\Administrator        通过应用程序访问 web 时检测到威胁: C:\Documents and Settings\Administrator\Local Settings\Application Data\Google\Chrome\Application\chrome.exe.

594157544

2011-5-4 12:04:11        HTTP 过滤器        文件        http://bbs.kafan.cn/forum-attach ... g5fDUwNDIwNg==.html        Win32/Olmarik.AMN 特洛伊木马        连接中断 - 已隔离        CSIOSI-F406E7C1\CSIOSI        通过应用程序访问 web 时检测到威胁: D:\Program Files\SogouExplorer\sogouexplorer.exe.

byxxdrls

红伞未报

fatezero

KIS

对象被HEUR:Trojan.Win32.Generic感染

aaaaoooo

360SD,金山卫士kill.

qianyuqx

to mse

hzk456

2011-5-4 12:31:03    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\my documents\dll.exe
命令行: "D:\My Documents\dll.exe"
规则: [应用程序]*

2011-5-4 12:31:09    底层磁盘写操作    阻止
进程: d:\my documents\dll.exe
目标: \Device\Harddisk0\DR0
规则: [应用程序]*

2011-5-4 12:31:15    修改文件    允许
进程: d:\my documents\dll.exe
目标: D:\My Documents\dll.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-5-4 12:31:21    修改注册表值    阻止
进程: d:\my documents\dll.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\D.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations

2011-5-4 12:31:23    访问网络    允许
进程: d:\my documents\dll.exe
目标: TCP [本机 : 1735] ->  [95.143.193.138 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-5-4 12:32:02    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: UDP [本机 : 49691] ->  [202.103.225.68 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-5-4 12:32:05    修改文件    阻止
进程: d:\my documents\dll.exe
目标: D:\My Documents\dll.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-5-4 12:32:07    访问网络    允许
进程: c:\windows\system32\winscript.exe
目标: UDP [本机 : 1736] ->  [202.103.207.215 : 9788]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-5-4 12:32:08    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: UDP [本机 : 60772] ->  [202.103.225.68 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2011-5-4 12:32:10    修改注册表值    阻止
进程: d:\my documents\dll.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\E.tmp
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager; PendingFileRenameOperations