老病毒，手工查杀工具无法发现，求真相~

yhjtj

FreeEquFraT

我还没找到这个病毒的服务

留侯

大蜘蛛：
Desktop\xcxozy.dll - infected with Win32.HLLW.Autoruner.5555

大蜘蛛和其他反病毒软件对此病毒的定义可以参考：
http://vms.drweb.com/search/?q=Win32.HLLW.Autoruner.5555

360技师

DLLeset，360报毒，BATmiss

hudeg632

退出MD，实机运行，打开MD，在svchost中找到这个毒DLL的句柄，关掉句柄，重启没发现什么问题。

sanhu35

2012-4-2 09:50:55    创建新进程    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\rundll32.exe
命令行: rundll32.exe xcxozy.dll, ydmmgvos
规则: [应用程序]*

2012-4-2 09:51:02    加载动态链接库    允许
进程: c:\windows\system32\rundll32.exe
目标: c:\documents and settings\administrator\桌面\xcxozy.dll
规则: [应用程序]* -> [动态链接库]*\桌面\*

2012-4-2 09:51:03    底层键盘操作    阻止
进程: c:\windows\system32\rundll32.exe
规则: [应用程序组]｛特权｝系统程序

2012-4-2 09:51:03    修改其他进程的内存    阻止
进程: c:\windows\system32\rundll32.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序]* -> [目标应用程序]进程保护

2012-4-2 09:51:03    修改其他进程的内存    阻止
进程: c:\windows\system32\rundll32.exe
目标: c:\windows\explorer.exe
规则: [应用程序]* -> [目标应用程序]进程保护

2012-4-2 09:51:03    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
值: 0x00000000(0)
规则: [注册表组]资源管理器 -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden*

2012-4-2 09:51:03    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced*; *Hidden*

2012-4-2 09:51:03    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\SuperHidden
值: 0x00000000(0)
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced*; *Hidden*

FreeEquFraT

有个疑惑，看了20楼和26楼的日志，有修改隐藏文件的注册表值，但发现没有添加服务的日志，到底是MD和SSF没有拦截到这个行为还是怎么回事呢？

584208730

小a居然没报？悲剧了。。。

zhengyi197

诺顿360下载后直接删除

_8023

小A 路过