引用:

2008-01-02 13:38:48    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\LSASS.EXE
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2008-01-02 13:38:53    結束/建立程序      操作:封鎖
程序路徑:D:\LSASS.EXE
目標程序:C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe
觸發規則:所有程序規則->*


2008-01-02 13:38:55    結束/建立程序      操作:封鎖
程序路徑:D:\LSASS.EXE
目標程序:C:\Program Files\Opera\Opera.exe
觸發規則:所有程序規則->*

2008-01-02 13:39:01    刪除登錄檔      操作:封鎖
程序路徑:D:\LSASS.EXE
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:[Key]
觸發規則:黑名單->受保護的登錄檔->HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run


2008-01-02 13:39:09    執行應用程序      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com /e /t /g Hung Jui Hung:F
觸發規則:所有程序規則->*


2008-01-02 13:39:12    執行應用程序      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com /e /t /g Everyone:F
觸發規則:所有程序規則->*


2008-01-02 13:39:14    建立檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\00302.log
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-02 13:39:21    修改檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\cacls.exe
檔案路徑:C:\WINDOWS\system32\Com\comadmin.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

2008-01-02 13:39:23    建立檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\NetApi00.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys


2008-01-02 13:39:25    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetApi00
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-02 13:39:27    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\NetApi00.sys
觸發規則:所有程序規則->*


2008-01-02 13:39:28    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetApi00
登錄檔名稱:ImagePath
登錄檔數值:\??\C:\NetApi00.sys
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-02 13:39:29    載入驅動程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\services.exe
裝置名稱:NetApi00
觸發規則:所有程序規則->*


2008-01-02 13:39:31    刪除檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\NetApi00.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys


2008-01-02 13:39:33    刪除檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\00302.log
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-02 13:39:36    執行應用程序      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c echo ok
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

引用:

2008-01-02 13:39:40    建立檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\com\SMSS.EXE
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2008-01-02 13:39:42    建立檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\com\netcfg.000
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-02 13:39:44    建立檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\com\netcfg.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll


2008-01-02 13:39:53    執行應用程序      操作:封鎖
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\regsvr32.exe
指令列:C:\WINDOWS\system32\com\netcfg.dll /s
觸發規則:所有程序規則->*


2008-01-02 13:39:57    建立檔案      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\com\LSASS.EXE
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

引用:

2008-01-02 13:40:01    執行應用程序      操作:允許
程序路徑:D:\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\com\LSASS.EXE
觸發規則:所有程序規則->*


2008-01-02 13:40:04    結束/建立程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
目標程序:C:\Program Files\Opera\Opera.exe
觸發規則:所有程序規則->*


2008-01-02 13:40:07    刪除登錄檔      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:[Key]
觸發規則:黑名單->受保護的登錄檔->HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run


2008-01-02 13:40:13    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com /e /t /g Hung Jui Hung:F
觸發規則:所有程序規則->*


2008-01-02 13:40:15    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com /e /t /g Everyone:F
觸發規則:所有程序規則->*


2008-01-02 13:40:19    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com\LSASS.EXE /e /t /g Hung Jui Hung:F
觸發規則:所有程序規則->*


2008-01-02 13:40:25    修改檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\cacls.exe
檔案路徑:C:\WINDOWS\system32\Com\comadmin.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll

引用:

2008-01-02 13:40:25    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com\LSASS.EXE /e /t /g Everyone:F
觸發規則:所有程序規則->*


2008-01-02 13:40:31    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com\SMSS.EXE /e /t /g Hung Jui Hung:F
觸發規則:所有程序規則->*


2008-01-02 13:40:34    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cacls.exe
指令列:C:\WINDOWS\system32\com\SMSS.EXE /e /t /g Everyone:F
觸發規則:所有程序規則->*


2008-01-02 13:40:36    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\00302.log
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-02 13:40:45    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\NetApi00.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys


2008-01-02 13:40:47    載入驅動程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\services.exe
裝置名稱:NetApi00
觸發規則:所有程序規則->*


2008-01-02 13:40:49    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\NetApi00.sys
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.sys


2008-01-02 13:40:51    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\00302.log
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-02 13:40:52    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c echo ok
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

引用:

2008-01-02 13:40:57    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c rd /s /q "C:\WINDOWS\system32\com\SMSS.EXE"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-02 13:41:04    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c rd /s /q "C:\WINDOWS\system32\com\LSASS.EXE"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:41:07    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c rd /s /q "C:\WINDOWS\system32\com\netcfg.000"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:41:09    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c rd /s /q "C:\WINDOWS\system32\com\netcfg.dll"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:41:13    修改檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\com\netcfg.000
觸發規則:所有程序規則->全域設定_普通模式->*

2008-01-02 13:41:18    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\regsvr32.exe
指令列:C:\WINDOWS\system32\com\netcfg.dll /s
觸發規則:所有程序規則->*


2008-01-02 13:41:22    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\dnsq.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll


2008-01-02 13:41:25    安裝整體掛鉤      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\dnsq.dll
觸發規則:所有程序規則->*

引用:

2008-01-02 13:41:29    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\AUTORUN.INF
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf

2008-01-02 13:41:37    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c "C:\WINDOWS\system32\com\SMSS.EXE C:\WINDOWS\system32\com\LSASS.EXE^|C:\pagefile.pif"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:41:39    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system32\com\SMSS.EXE
指令列:C:\WINDOWS\system32\com\LSASS.EXE|C:\pagefile.pif
觸發規則:所有程序規則->*


2008-01-02 13:41:41    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\SMSS.EXE
檔案路徑:C:\pagefile.pif
觸發規則:所有程序規則->全域設定_可執行檔案1->*.pif

2008-01-02 13:41:42    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:D:\AUTORUN.INF
觸發規則:所有程序規則->白名單與黑名單->?:\autorun.inf

2008-01-02 13:41:44    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c "C:\WINDOWS\system32\com\SMSS.EXE C:\WINDOWS\system32\com\LSASS.EXE^|D:\pagefile.pif"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:41:45    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system32\com\SMSS.EXE
指令列:C:\WINDOWS\system32\com\LSASS.EXE|D:\pagefile.pif
觸發規則:所有程序規則->*


2008-01-02 13:41:46    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\SMSS.EXE
檔案路徑:D:\pagefile.pif
觸發規則:所有程序規則->全域設定_可執行檔案1->*.pif

開始 U盤病毒行為

引用:

2008-01-02 13:41:57    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\com\SMSS.EXE
指令列:C:\Documents and Settings\All Users\「開始」功能表\程式集\啟動\~.exe
觸發規則:所有程序規則->*


2008-01-02 13:42:02    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c rd /s /q "C:\WINDOWS\system32\dnsq.dll"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:42:06    修改登錄檔內容      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
登錄檔路徑:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
登錄檔名稱:ShowSuperHidden
觸發規則:所有程序規則->檔案總管->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

修改 隱藏屬性

2008-01-02 13:42:09    刪除登錄檔      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
登錄檔名稱:[Key]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

2008-01-02 13:42:27    刪除登錄檔      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
登錄檔名稱:[Key]
觸發規則:所有程序規則->系統設定->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

刪除 安全模式 註冊表

2008-01-02 13:42:24    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:c:\program files\winrar\rar.exe
指令列:X "D:\Memory\Gibli\地海戰記\Tales_from_Earthsea.rar" "C:\WINDOWS\system32\com\bak\Tales_from_Earthsea.rar\" -r -inul -ibck -y
觸發規則:所有程序規則->*

開始感染 壓縮檔 內的文件

2008-01-02 13:42:30    修改檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:D:\Memory\saved files\SafeXP\SafeXPHelp-FR.htm
觸發規則:所有程序規則->全域設定_普通模式->*

開始感染 .htm 文件

2008-01-02 13:42:30    修改登錄檔內容      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
登錄檔名稱:Type
登錄檔數值:radio
觸發規則:所有程序規則->檔案總管->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced*

引用:

2008-01-02 13:43:15    建立檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\Com\~
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-02 13:43:16    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c "C:\WINDOWS\system32\com\SMSS.EXE C:\WINDOWS\system32\com\~^|D:\MSOCache\All Users\90000404-6000-11D3-8CFE-0150048383C9\FILES\PFILES\COMMON\MSSHARED\DW\DW20.EXE"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:43:19    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\WINDOWS\system32\com\SMSS.EXE
指令列:C:\WINDOWS\system32\com\~|D:\MSOCache\All Users\90000404-6000-11D3-8CFE-0150048383C9\FILES\PFILES\COMMON\MSSHARED\DW\DW20.EXE
觸發規則:所有程序規則->*


2008-01-02 13:43:23    修改檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\SMSS.EXE
檔案路徑:D:\MSOCache\All Users\90000404-6000-11D3-8CFE-0150048383C9\FILES\PFILES\COMMON\MSSHARED\DW\DW20.EXE
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

開始感染 .exe 文件

2008-01-02 13:43:25    結束/建立程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
目標程序:C:\WINDOWS\system32\cmd.exe
觸發規則:所有程序規則->*


2008-01-02 13:43:59    修改檔案      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:D:\MSOCache\All Users\90000404-6000-11D3-8CFE-0150048383C9\FILES\PFILES\COMMON\MSSHARED\DW\DW20.EXE
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe

主程序也開始感染 .exe 文件

2008-01-02 13:44:26    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\Com\~
觸發規則:所有程序規則->全域設定_普通模式->*

引用:

2008-01-02 13:47:29    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c rd /s /q "C:\WINDOWS\system32\com\bak"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe

2008-01-02 13:47:38    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c rd /s /q "C:\WINDOWS\system32\com\bak"
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-02 13:48:42    執行應用程序      操作:封鎖
程序路徑:C:\WINDOWS\system32\com\LSASS.EXE
檔案路徑:C:\WINDOWS\system32\ping.exe
指令列:-f -n 1 www.baidu.com
觸發規則:所有程序規則->*

開始 ping 百度

這種病毒是用來測試HIPS或任一種方法能不能保護你的防毒軟體
不是給你看你的防毒能不能偵測到它、能不能刪除它啦！

如果防毒無法偵測出來，那防毒就被幹掉了。
其實我也很好奇，純殺毒軟體如果關掉即時監控能不能不被這種病毒關閉？
樓上說卡巴直接被幹掉，現在可能安全了，但是此結果是收集樣本所作回應處理！
此類病毒第一時間流傳到網路不知道幹掉多少防毒軟體，誰知道自己會不會就是那其中之一
所以我還是把HIPS研究的更專精一點比較保險。

ca miss
comodo   ok

難得這次McAfee有報:
generic.dx
賽門鐵克也有報:
W32.Pagipef.I

McAfee: LSASS.EXE
Generic.dx