給個病毒的完整行為！

引用:

2008-01-01 20:56:35    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\Explorer.EXE
檔案路徑:D:\app.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2008-01-01 20:56:38    建立檔案      操作:允許
程序路徑:D:\app.exe
檔案路徑:D:\abs.so
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-01 20:56:41    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IRAT
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-01 20:56:42    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:%SystemRoot%\System32\svchost.exe -k audiosrvc
觸發規則:所有程序規則->*


2008-01-01 20:56:44    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IRAT
登錄檔名稱:ImagePath
登錄檔數值:%SystemRoot%\System32\svchost.exe -k audiosrvc
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2008-01-01 20:56:47    建立檔案      操作:允許
程序路徑:D:\app.exe
檔案路徑:C:\Program Files\IRAT\IRAT.rmvb
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-01 20:56:49    建立登錄檔值      操作:允許
程序路徑:D:\app.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IRAT\Parameters
登錄檔名稱:ServiceDll
登錄檔數值:C:\Program Files\IRAT\IRAT.rmvb
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*\Parameters

引用:

2008-01-01 20:57:32    建立檔案      操作:允許
程序路徑:D:\app.exe
檔案路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\DelEx.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat


2008-01-01 20:57:34    執行應用程序      操作:允許
程序路徑:D:\app.exe
檔案路徑:C:\WINDOWS\system32\cmd.exe
指令列:/c ""C:\DOCUME~1\HUNGJU~1\LOCALS~1\Temp\DelEx.bat" "
觸發規則:所有程序規則->系統程式_黑名單->*\cmd.exe


2008-01-01 20:57:35    刪除檔案      操作:允許
程序路徑:D:\app.exe
檔案路徑:D:\abs.so
觸發規則:所有程序規則->全域設定_普通模式->*


2008-01-01 20:57:37    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:D:\app.exe
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.exe


2008-01-01 20:57:38    刪除檔案      操作:允許
程序路徑:C:\WINDOWS\system32\cmd.exe
檔案路徑:C:\Documents and Settings\Hung Jui Hung\Local Settings\Temp\DelEx.bat
觸發規則:所有程序規則->全域設定_可執行檔案1->%SystemDrive%\*.bat

經查詢，此 IP 在台北

McAfee MultiDropper-JD

我映象中 那個GOOGLE 查IP所在地 好像不太準確...

IP查出來的確在台北沒錯= =

話說我剛剛在砍這隻的時候沒有發現

引用:

2008-01-01 20:56:41    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IRAT
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*

ANTIVIR報啟發。
[0] Archive type: RAR
  --> app.exe
      [DETECTION] Contains suspicious code HEUR/Malware
      [WARNING]   The file was ignored!

該不會不久之後又要出現一個「XX歲天才駭客……」之類的吹噓報導吧？

下載來試看看,感謝提供測試

那個 ip 有可能也只是一台別人的肉雞吧
害客很少會用到自己的機子當接收站的.

這一隻好眼熟，我剛換紅傘的時候中過……
幾下就殺乾淨了，當時還沒用hips。

ca miss
updata

SEP有掃到，但只寫他是木馬