被传得神乎其神的病毒，请帮忙分析下行为

Nocria

转载自瑞星卡卡社区
http://bbs.ikaka.com/attachment.aspx?attachmentid=620549

蓝色内容为原发帖者所写：
中华黑豹病毒，是一种破坏力极为强大的病毒！破坏力比熊猫烧香强百倍，用户一旦中毒，后果不堪设想。
该作者已改邪归正，在网上看是去做红客了，不过还是中国人的作品！两个字！：NB
今天偶然一次机会，在QQ群中看到：“中华黑豹病毒样本”，出于无聊，下载来看看，不出我所料，果然是中华黑豹，一共有两个版本，一个是增强版的，还有一个是升级版的，由于没有安装还原之类的，
没敢测试，今天就提供样本，让大家研究下！心怀莫测的不要下载害人！否则后果自负！我可不承担任何责任啊～～我先说好了哦
这个东西十分危险，切忌不要以身试毒，不然后悔吧...
在网上看到很多以身试毒的，我总结了下这个病毒的特性：
1：格式化全部磁盘
2：在桌面上摆了一些文件，图标是黑色的豹子头！共计100余个！删除不掉，打不开。
3：中毒的过程：可以听到一个豹子的叫声，一个男子在说话，声音相当大！开麦听听就知道！
4：中毒的过程：桌面不停的闪！5余种颜色！写着：“中华黑豹病毒已经侵入！！！”字很大！吓人...
5：提示几个框框，关不完，声音频率貌似很好听！有错误、提示、警告、等，差不多做成一首音乐了！！一个不停的跳动的对话框，关不掉！写着：玉树地震的事情！。看上去是位爱国者....顶！
6：任务管理器被禁用！
7：注册表被禁用！
8：光驱不停的弹出弹入……
9：全盘文件夹都变了样...等等……

http://u.115.com/file/dngdltxf#

WeeVee

BD
中华黑豹增强版.exe    Dropped:Trojan.Generic.4915044
中华黑豹升级版.exe    Gen:Trojan.Heur.@p0@sX7SvSpbb

主防

zuo

就是个恶搞病毒，鉴定完毕
纯破坏性
这样的病毒越来越少了

Mr.Tong

360 kill

不敢实机测试，等虚拟机的，嘿嘿，求图。。

sanhu35

。。。测测毒去

Mr.Tong

sanhu35 发表于 2011-7-28 21:16
。。。测测毒去

等你归来。。。

zuo

Mr.Tong 发表于 2011-7-28 21:17
等你归来。。。

2011-7-28 21:20:57    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:57    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:57    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:57    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:58    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:58    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:58    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:58    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:58    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹升级版.exe
目标: C:\WINDOWS\Media\Windows XP 关机.wav
规则: [文件组]系统文件夹写保护(防删除) -> [文件]c:\windows\media\*; *.wav

2011-7-28 21:20:59    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹升级版.exe
目标: C:\WINDOWS\Media\Windows XP 启动.wav
规则: [文件组]系统文件夹写保护(防删除) -> [文件]c:\windows\media\*; *.wav

2011-7-28 21:20:59    修改文件    阻止
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹升级版.exe
目标: C:\WINDOWS\system32\taskmgr.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; taskmgr.exe

2011-7-28 21:20:59    创建新进程    阻止
进程: c:\windows\system32\ntvdm.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\conime.exe

2011-7-28 21:20:59    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹升级版.exe
目标: C:\WINDOWS\SYSTEM\1.BAT
规则: [文件组]文件安全读写规则(阻止创建) -> [文件]c:\windows\*; *.bat

2011-7-28 21:20:59    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹升级版.exe
目标: C:\WINDOWS\SYSTEM\1.BAT
规则: [文件组]文件安全读写规则(阻止创建) -> [文件]c:\windows\*; *.bat

2011-7-28 21:20:59    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹升级版.exe
目标: C:\WINDOWS\SYSTEM\1.BAT
规则: [文件组]文件安全读写规则(阻止创建) -> [文件]c:\windows\*; *.bat

2011-7-28 21:27:48    创建文件    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: C:\WINDOWS\system\CHINAHEIBAO\死机.exe
规则: [文件组]文件安全读写规则(阻止创建、修改) -> [文件]c:\windows\*; *.exe

2011-7-28 21:27:49    创建文件    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: C:\WINDOWS\system\CHINAHEIBAO\提示1.exe
规则: [文件组]文件安全读写规则(阻止创建、修改) -> [文件]c:\windows\*; *.exe

2011-7-28 21:27:49    创建文件    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: C:\WINDOWS\system\CHINAHEIBAO\提示2.exe
规则: [文件组]文件安全读写规则(阻止创建、修改) -> [文件]c:\windows\*; *.exe

2011-7-28 21:27:49    创建文件    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: C:\WINDOWS\system\CHINAHEIBAO\3.bat
规则: [文件组]文件安全读写规则(阻止创建) -> [文件]c:\windows\*; *.bat

2011-7-28 21:27:49    创建文件    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: C:\WINDOWS\system\CHINAHEIBAO\Qingchu.bat
规则: [文件组]文件安全读写规则(阻止创建) -> [文件]c:\windows\*; *.bat

2011-7-28 21:27:50    创建文件    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: C:\WINDOWS\system\CHINAHEIBAO\ZhuYao.bat
规则: [文件组]文件安全读写规则(阻止创建) -> [文件]c:\windows\*; *.bat

2011-7-28 21:27:50    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cache

2011-7-28 21:27:50    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cookies

2011-7-28 21:27:50    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\中华黑豹病毒样本\中华黑豹病毒样本\中华黑豹增强版.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\System32\WScript.exe
值: Microsoft (R) Windows Based Script Host
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache

2011-7-28 21:27:54    修改注册表值    允许
进程: c:\windows\system32\wscript.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system\CHINAHEIBAO\ZhuYao.bat
值: ZhuYao
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache

2011-7-28 21:27:54    创建新进程    允许
进程: c:\windows\system32\wscript.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ""C:\WINDOWS\system\CHINAHEIBAO\ZhuYao.bat" /start"
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\cmd.exe

2011-7-28 21:27:55    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\attrib.exe
命令行: ATTRIB \WINDOWS\system\CHINAHEIBAO +S +R +H
规则: [应用程序组]4D应用程序规则-系统进程执行规则 -> [应用程序]c:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\attrib.exe

2011-7-28 21:27:56    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\regedit.exe
命令行: regedit.exe /s 1.reg
规则: [应用程序组]4D应用程序规则-系统进程执行规则 -> [应用程序]c:\windows\system32\cmd.exe -> [子应用程序]c:\windows\regedit.exe

2011-7-28 21:27:56    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\format.com
命令行: format d:/q /y
规则: [应用程序组]4D应用程序规则-系统进程执行规则 -> [应用程序]c:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\format.???

2011-7-28 21:27:57    创建文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\Qingchu.bat
规则: [文件组]系统文件夹写保护(询问创建、修改) -> [文件]c:\documents and settings\*\程序\启动\*

2011-7-28 21:27:58    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Icons" /v 3 /d "\WINDOWS\system\"CHINAHEIBAO\1.ico",0" /f
规则: [应用程序组]4D应用程序规则-系统进程执行规则 -> [应用程序]c:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\reg.exe

2011-7-28 21:27:58    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\WINDOWS\Media\Windows XP 关机.wav
规则: [文件组]系统文件夹写保护(防删除) -> [文件]c:\windows\media\*; *.wav

2011-7-28 21:27:58    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\WINDOWS\Media\Windows XP 启动.wav
规则: [文件组]系统文件夹写保护(防删除) -> [文件]c:\windows\media\*; *.wav

2011-7-28 21:28:00    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system\chinaheibao\2.exe
命令行: 2.exe
规则: [应用程序组]4D高优先级规则 -> [应用程序]* -> [子应用程序]c:\windows\system\*

2011-7-28 21:28:00    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system\chinaheibao\8.exe
命令行: 8.exe
规则: [应用程序组]4D高优先级规则 -> [应用程序]* -> [子应用程序]c:\windows\system\*

2011-7-28 21:28:00    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\wscript.exe
命令行: "C:\WINDOWS\System32\WScript.exe" "C:\WINDOWS\system\CHINAHEIBAO\3.vbs"
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\wscript.exe

2011-7-28 21:28:04    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system\chinaheibao\提示1.exe
命令行: 提示1.exe
规则: [应用程序组]4D高优先级规则 -> [应用程序]* -> [子应用程序]c:\windows\system\*

2011-7-28 21:28:05    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system\chinaheibao\提示2.exe
命令行: 提示2.exe
规则: [应用程序组]4D高优先级规则 -> [应用程序]* -> [子应用程序]c:\windows\system\*

2011-7-28 21:28:05    修改注册表值    允许
进程: c:\windows\system32\reg.exe
目标: HKEY_CURRENT_USER\Control Panel\Desktop\wallpaper
值: \WINDOWS\system\CHINAHEIBAO\1.BMP
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\Control Panel\Desktop; *Wallpaper

2011-7-28 21:28:56    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\shutdown.exe
命令行: shutdown.exe -s -t 300 -c "非常抱歉！系统检测到了  中华黑豹  病毒，Windows正在后台紧急处理，请稍等，不要关闭计算机，系统将自动关闭"
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\shutdown.exe

2011-7-28 21:28:56    修改注册表值    允许
进程: c:\windows\system32\reg.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools
值: 0x00000001(1)
规则: [注册表组]系统关键设置保护(结束进程) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\SYSTEM; DisableRegistryTools

Dirk

郑伟用户

被毒霸干掉了

Nocria

非常抱歉！系统检测到了  中华黑豹  病毒，Windows正在后台紧急处理，请稍等，不要关闭计算机，系统将自动关闭"

看起来有些fakeav的意思