Order.zip

jason_jiang

PCA启发

hddu

2011-05-12 10:04:17    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\winlogon.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Recycle.Bin\Recycle.Bin.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2011-05-12 10:04:22    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Recycle.Bin\Recycle.Bin.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2011-05-12 10:04:24    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\winlogon.exe
文件路径:F:\virus\Order\Order.Doc_______________________________________________________________________.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2011-05-12 10:04:36    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
文件路径:F:\virus\Order\Order.Doc_______________________________________________________________________.exe
触发规则:所有程序规则->全局设置->?:\*.exe

2011-05-12 10:04:36    运行应用程序      操作:允许
进程路径:C:\WINDOWS\system32\lsass.exe
文件路径:C:\WINDOWS\Temp\Recycle.Bin\Recycle.Bin.exe
触发规则:所有程序规则->其它程序设置->*\Temp\*

2011-05-12 10:04:38    删除文件      操作:允许
进程路径:C:\WINDOWS\system32\winlogon.exe
文件路径:F:\virus\Order\Order.Doc_______________________________________________________________________.exe
触发规则:所有程序规则->全局设置->?:\*.exe

哎，不同的HIPS，不同的规则，会有不同的后果。

yusup

没想到这狗远比现象中要强悍。