开启监控项
样本稍后附上
运行样本RS提示访问CMD。一旦允许程序错误
因为是实机测试所以没有图
附上样本不妨自己测试
感染性样本
来自测试群的一个人
由他开发
测试日记附上
日记来自卡饭
2009-6-27 13:56:14 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\__tmp_rar_sfx_access_check_281437
规则: [文件组]全局阻止建改删 -> [文件]?:\program files\*
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\local.stat
规则: [文件组]全局阻止建改删 -> [文件]?:\program files\*
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\Comdlg32.ocx
规则: [文件组]阻止 -> [文件]c:\*; *.ocx
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\Comdlg32.ocx
规则: [文件组]阻止 -> [文件]c:\*; *.ocx
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XH1.exe
规则: [文件组]阻止 -> [文件]c:\program files\*; *.exe
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XH1.exe
规则: [文件组]阻止 -> [文件]c:\program files\*; *.exe
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XHkill.dll
规则: [文件组]全局阻止建改删 -> [文件]?:\program files\*
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XHkill.dll
规则: [文件组]全局阻止建改删 -> [文件]?:\program files\*
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XHKILLR.exe
规则: [文件组]阻止 -> [文件]c:\program files\*; *.exe
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XHKILLR.exe
规则: [文件组]阻止 -> [文件]c:\program files\*; *.exe
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XHMain.exe
规则: [文件组]阻止 -> [文件]c:\program files\*; *.exe
2009-6-27 13:56:16 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\XHMain.exe
规则: [文件组]阻止 -> [文件]c:\program files\*; *.exe
2009-6-27 13:56:18 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\local.stat
规则: [文件组]全局阻止建改删 -> [文件]?:\program files\*
2009-6-27 13:56:18 创建文件 阻止
进程: c:\program files\小孩一号\小孩一号.exe
目标: C:\Program Files\C;\local.stat
规则: [文件组]全局阻止建改删 -> [文件]?:\program files\*
2009-06-27 14:51:04 应用程序保护(运行应用程序)
进程路径:E:\KIA\小孩一号\XHMain.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill /f /im taskmgr.exe
2009-06-27 14:51:09 应用程序保护(运行应用程序)
进程路径:E:\KIA\小孩一号\XHMain.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c date 2000-01-08
2009-06-27 14:52:03 应用程序保护(运行应用程序)
进程路径:E:\KIA\小孩一号\XHMain.exe
文件路径:C:\WINDOWS\system32\shutdown.exe
命令行:-r -t 0
XHKILLR.exe运行后
2009-06-27 14:50:04 应用程序保护(运行应用程序)
进程路径:E:\KIA\小孩一号\XHKILLR.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill /f /im taskmgr.exe
2009-06-27 14:50:10 应用程序保护(加载库文件)
进程路径:E:\KIA\小孩一号\XHKILLR.exe
文件路径:E:\KIA\小孩一号\XHkill.dll
2009-06-27 14:50:30 文件保护(创建文件)
进程路径:E:\KIA\小孩一号\XHKILLR.exe
文件路径:C:\Program Files\Explorer++\MyProKillerTmp.sys
2009-06-27 14:50:35 应用程序保护(访问服务管理器)
进程路径:E:\KIA\小孩一号\XHKILLR.exe
2009-06-27 14:50:40 应用程序保护(安装服务或者驱动)
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\Program Files\Explorer++\MyProKillerTmp.sys
2009-06-27 14:50:43 文件保护(删除文件)
进程路径:E:\KIA\小孩一号\XHKILLR.exe
文件路径:C:\Program Files\Explorer++\\Program Files\Explorer++\MyProKillerTmp.sys
2009-06-27 14:50:47 应用程序保护(运行应用程序)
进程路径:E:\KIA\小孩一号\XHKILLR.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c taskkill /f /im RSTRAY.EXE
XHMain.exe运行后有个界面不过行为一旦阻止就出错退出
沙盘运行了下
剩下的拦不到了。。。
原帖
http://bbs.ikaka.com/showtopic-8636852.aspx用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; QQDownload 551)
