瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛 To:BaoHe斑竹`

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第四十七次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

12 3

1 / 3 页

跳转页

To:BaoHe斑竹`

心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	发表于： 2005-09-20 18:09 \| 只看楼主短消息资料字号：小中大 1楼 To:BaoHe斑竹` baohe,你好,我在a-v中国样本区提取了win32.rootkit.h样本。自己操作少，手生,现在问题来了，有空麻烦帮忙解答一下哦. 1.运行样本后，系统没明显异常表现(XPSP2).%system%搜寻sysmon32.exe与msderitx.sys,无果.运行后提示无权限访问,如图1. 2.对应注册表 HKLM\SYSTEM\CONTROLSET001\下没找到msderictx项. HKLM\SOFTWARE\Microsoft\windows NT\CurrentVersion\Winlogon\下没发现"shell=explorer.exe sysmon32.exe" 却是在其他处发现健值.如图2. 3.IceSword中也没sysmon32进程存在,但是SSM又提示启动后监视过程中都发现有项目改动,如图3. 4.卡巴扫后没毒. 以上这些是在关了杀软,但开着SSM,和Tiny Firewall下进行的,是否以为拦截成功?这些都是怎么回事啊? 注册表内搜寻到的删? 应该做些什么? 2005-09-20 20:16:22
心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	分享到：

心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	发表于： 2005-09-20 18:10 \| 只看楼主短消息资料字号：小中大 2楼图一: 提示:windows无法访问指定设备、路径或文件。您可能没有合适的权限访问这个项目。附件: 文件名:3917692005920181051.JPG 下载次数:0 文件类型:image/pjpeg 文件大小: 上传时间:2005-9-20 18:10:51 描述:
心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:

心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	发表于： 2005-09-20 18:11 \| 只看楼主短消息资料字号：小中大 3楼图二：附件: 文件名:3917692005920181131.JPG 下载次数:0 文件类型:image/pjpeg 文件大小: 上传时间:2005-9-20 18:11:31 描述:
心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:

大版主

帖子:72578
注册: 2003-04-10
来自:

发表于： 2005-09-20 18:11 | 短消息资料

字号：小中大 4楼

引用:

【心言的贴子】baohe,你好,我在a-v中国样本区提取了win32.rootkit.h样本。
自己操作少，手生,现在问题来了，有空麻烦帮忙解答一下哦.

1.运行样本后，系统没明显异常表现(XPSP2).%system%搜寻sysmon32.exe与msderitx.sys,无果.运行后提示无权限访问,如图1.

2.对应注册表
HKLM\SYSTEM\CONTROLSET001\下没找到msderictx项.
HKLM\SOFTWARE\Microsoft\windows NT\CurrentVersion\Winlogon\下没发现"shell=explorer.exe sysmon32.exe"
却是在其他处发现健值.如图2.

3.IceSword中也没sysmon32进程存在,但是SSM又提示启动后监视过程中都发现有项目改动,如图3.

4.卡巴扫后没毒.

以上这些是在关了杀软,但开着SSM,和Tiny Firewall下进行的,是否以为拦截成功?这些都是怎么回事啊? 注册表内搜寻到的删? 应该做些什么?
...........................

图呢？

心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	发表于： 2005-09-20 18:12 \| 只看楼主短消息资料字号：小中大 5楼图三：SSM监视的附件: 文件名:3917692005920181222.JPG 下载次数:0 文件类型:image/pjpeg 文件大小: 上传时间:2005-9-20 18:12:23 描述:
心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2005-09-20 18:15 \| 短消息资料字号：小中大 6楼【回复“心言”的帖子】是“feishe”发的那个“sysmon32.rar”吗？
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	发表于： 2005-09-20 18:17 \| 只看楼主短消息资料字号：小中大 7楼【回复“baohe”的帖子】是的。地址：http://www.anti-vir.cn/bbs/read.php?tid=339&fpage=1
心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2005-09-20 18:19 \| 短消息资料字号：小中大 8楼【回复“心言”的帖子】图3——SSM已经将注册表中的msdirectx清除了，你在注册表中当然找不到msdirectx了。要观察病毒感染全过程，遇到SSM移除的项目，先按F2（禁止移除）。
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	发表于： 2005-09-20 18:24 \| 只看楼主短消息资料字号：小中大 9楼哦，这样啊。汗。。SSM和Tiny Firewall今天刚下，运行病毒前后是否应关闭墙和杀软，
心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:

大版主

帖子:72578
注册: 2003-04-10
来自:

发表于： 2005-09-20 18:26 | 短消息资料

字号：小中大 10楼

引用:

【心言的贴子】【回复“baohe”的帖子】
是的。
地址：http://www.anti-vir.cn/bbs/read.php?tid=339&fpage=1
...........................

附件:

文件名:1558472005920182623.jpg

下载次数:0

文件类型:image/pjpeg

文件大小:

上传时间:2005-9-20 18:26:23

描述:

<<上一主题|下一主题>>

12 3

1 / 3 页

跳转页

心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	发表于： 2005-09-20 18:09 \| 只看楼主短消息资料字号：小中大 1楼 To:BaoHe斑竹` baohe,你好,我在a-v中国样本区提取了win32.rootkit.h样本。自己操作少，手生,现在问题来了，有空麻烦帮忙解答一下哦. 1.运行样本后，系统没明显异常表现(XPSP2).%system%搜寻sysmon32.exe与msderitx.sys,无果.运行后提示无权限访问,如图1. 2.对应注册表 HKLM\SYSTEM\CONTROLSET001\下没找到msderictx项. HKLM\SOFTWARE\Microsoft\windows NT\CurrentVersion\Winlogon\下没发现"shell=explorer.exe sysmon32.exe" 却是在其他处发现健值.如图2. 3.IceSword中也没sysmon32进程存在,但是SSM又提示启动后监视过程中都发现有项目改动,如图3. 4.卡巴扫后没毒. 以上这些是在关了杀软,但开着SSM,和Tiny Firewall下进行的,是否以为拦截成功?这些都是怎么回事啊? 注册表内搜寻到的删? 应该做些什么? 2005-09-20 20:16:22
心言强壮不惑狮帖子:754 注册: 2004-11-30 来自:	分享到：

瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 To:BaoHe斑竹`

To:BaoHe斑竹`

To:BaoHe斑竹`

附件:

文件名:3917692005920181051.JPG 下载次数:0 文件类型:image/pjpeg 文件大小: ShowFormatBytesStr(0); 上传时间:2005-9-20 18:10:51 描述:

附件:

文件名:3917692005920181131.JPG 下载次数:0 文件类型:image/pjpeg 文件大小: ShowFormatBytesStr(0); 上传时间:2005-9-20 18:11:31 描述:

附件:

文件名:3917692005920181222.JPG 下载次数:0 文件类型:image/pjpeg 文件大小: ShowFormatBytesStr(0); 上传时间:2005-9-20 18:12:23 描述:

附件:

文件名:1558472005920182623.jpg 下载次数:0 文件类型:image/pjpeg 文件大小: ShowFormatBytesStr(0); 上传时间:2005-9-20 18:26:23 描述:

文件名:3917692005920181051.JPG

下载次数:0

文件类型:image/pjpeg

文件大小:

上传时间:2005-9-20 18:10:51

描述:

文件名:3917692005920181131.JPG

下载次数:0

文件类型:image/pjpeg

文件大小:

上传时间:2005-9-20 18:11:31

描述:

文件名:3917692005920181222.JPG

下载次数:0

文件类型:image/pjpeg

文件大小:

上传时间:2005-9-20 18:12:23

描述:

文件名:1558472005920182623.jpg

下载次数:0

文件类型:image/pjpeg

文件大小:

上传时间:2005-9-20 18:26:23

描述: