测试第二贴金山vsxxoo病毒（毒霸败得惨不忍睹）

qq592019174

测试一个小病毒
名称是xxoo（自己这么说的）
1 测试环境
windowsxpsp3
内存 512mb

（猜猜谁是我）

2 先开始扫描测试


成功扫描出病毒
成功！
3.点击测试

拦截成功（部分）
下面是关闭云，看K+
2012-4-19 21:55:22    创建新进程    允许
进程: c:\program files\haozip\haozip.exe
目标: c:\documents and settings\administrator\local settings\temp\hz$d.708.3082\hz$d.708.3084\sysanti.exe
命令行: "C:\Documents and Settings\Administrator\Local Settings\Temp\HZ$D.708.3082\HZ$D.708.3084\SysAnti.exe"
规则: [应用程序]*

2012-4-19 21:55:22    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\hz$d.708.3082\hz$d.708.3084\sysanti.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\Fonts\skegc.fon",MyKILLEntry
规则: [应用程序]*

2012-4-19 21:55:23    安装驱动程序或服务    允许
进程: c:\windows\system32\rundll32.exe
目标: C:\WINDOWS\Fonts\jrnu.fon
规则: [应用程序]*

2012-4-19 21:55:23    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DrvKiller
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2012-4-19 21:55:23    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DrvKiller\Start
值: 0x00000003(3)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2012-4-19 21:55:24    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DrvKiller\ImagePath
值: \??\C:\WINDOWS\Fonts\jrnu.fon
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath

貌似只拦截加驱。。。。。。。。。桑不起啊
失败呀呀呀呀
4 先中毒，在看毒霸
关闭毒霸之后点击病毒样本
2012-4-19 21:58:42    创建新进程    允许

2012-4-19 21:58:41

拦截成功（部分）
下面是关闭云，看K+
2012-4-19 21:55:22    创建新进程    允许
进程: c:\program files\haozip\haozip.exe
目标: c:\documents and settings\administrator\local settings\temp\hz$d.708.3082\hz$d.708.3084\sysanti.exe
命令行: "C:\Documents and Settings\Administrator\Local Settings\Temp\HZ$D.708.3082\HZ$D.708.3084\SysAnti.exe"
规则: [应用程序]*

2012-4-19 21:55:22    创建新进程    允许
进程: c:\documents and settings\administrator\local settings\temp\hz$d.708.3082\hz$d.708.3084\sysanti.exe
目标: c:\windows\system32\rundll32.exe
命令行: C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\Fonts\skegc.fon",MyKILLEntry
规则: [应用程序]*

2012-4-19 21:55:23    安装驱动程序或服务    允许
进程: c:\windows\system32\rundll32.exe
目标: C:\WINDOWS\Fonts\jrnu.fon
规则: [应用程序]*

2012-4-19 21:55:23    创建注册表项    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DrvKiller
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2012-4-19 21:55:23    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DrvKiller\Start
值: 0x00000003(3)
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start

2012-4-19 21:55:24    修改注册表值    允许
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DrvKiller\ImagePath
值: \??\C:\WINDOWS\Fonts\jrnu.fon
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath
  

貌似只拦截加驱。。。。。。。。。桑不起啊
失败呀呀呀呀
4 先中毒，在看毒霸
关闭毒霸之后点击病毒样本
2012-4-19 21:58:42    创建新进程    允许

2012-4-19 21:58:41        c:\program files\haozip\haozip.exe        创建文件        C:\Documents and Settings\Administrator\Local Settings\Temp\HZ$D.877.2156\HZ$D.877.2157\SysAnti.exe        允许        [文件组]所有执行文件 -> [文件]*; *.exe        
2012-4-19 21:58:42        c:\program files\haozip\haozip.exe        创建新进程        c:\documents and settings\administrator\local settings\temp\hz$d.877.2156\hz$d.877.2157\sysanti.exe        允许        [应用程序]*        命令行: "C:\Documents and Settings\Administrator\Local Settings\Temp\HZ$D.877.2156\HZ$D.877.2157\SysAnti.exe"
2012-4-19 21:58:42        c:\documents and settings\administrator\local settings\temp\hz$d.877.2156\hz$d.877.2157\sysanti.exe        创建新进程        c:\windows\system32\rundll32.exe        允许        [应用程序]*        命令行: C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\Fonts\rkeru.fon",MyKILLEntry
2012-4-19 21:58:43        c:\documents and settings\administrator\local settings\temp\hz$d.877.2156\hz$d.877.2157\sysanti.exe        删除文件        C:\WINDOWS\system32\SysAnti.exe        允许        [文件组]系统执行文件 -> [文件]c:\windows\*; *.exe        
2012-4-19 21:58:50        c:\documents and settings\administrator\local settings\temp\hz$d.877.2156\hz$d.877.2157\sysanti.exe        创建新进程        c:\windows\system32\sysanti.exe        允许        [应用程序]*        命令行: C:\WINDOWS\System32\SysAnti.exe -One
2012-4-19 21:58:50        c:\windows\system32\sysanti.exe        创建新进程        c:\windows\system32\rundll32.exe        允许        [应用程序]*        命令行: C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\Fonts\tbugi.fon",MyKILLEntry
2012-4-19 21:58:51        c:\windows\system32\sysanti.exe        修改注册表值        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\SysAnti        允许        [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\*        值: C:\WINDOWS\System32\SysAnti.exe
2012-4-19 21:58:51        c:\windows\system32\sysanti.exe        创建新进程        c:\windows\system32\svchost.exe        允许        [应用程序]*        命令行: C:\WINDOWS\System32\Svchost.exe
2012-4-19 21:58:51        c:\windows\system32\sysanti.exe        修改其他进程的内存        c:\windows\system32\svchost.exe        允许        [应用程序]*        
2012-4-19 21:58:51        c:\windows\system32\sysanti.exe        修改其他进程的线程        c:\windows\system32\svchost.exe        允许        [应用程序]*        
2012-4-19 21:58:52        c:\documents and settings\administrator\local settings\temp\hz$d.877.2156\hz$d.877.2157\sysanti.exe        安装驱动程序或服务        C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp~rke.tmp        允许        [应用程序]*        
2012-4-19 21:58:52        c:\windows\system32\services.exe        创建注册表项        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\rke        允许        [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services        
2012-4-19 21:58:52        c:\windows\system32\svchost.exe        修改文件        C:\WINDOWS\System32\drivers\etc\hosts        允许        [文件组]系统关键文件 -> [文件]c:\windows\system32\drivers\etc        
2012-4-19 21:58:52        c:\windows\system32\services.exe        修改注册表值        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\rke\Start        允许        [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start        值: 0x00000003(3)
2012-4-19 21:58:53        c:\windows\system32\services.exe        修改注册表值        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\rke\ImagePath        允许        [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath        值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp~rke.tmp
2012-4-19 21:58:53        c:\windows\system32\svchost.exe        创建注册表项        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360hotfix.exe        允许        [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*        
2012-4-19 21:58:53        c:\documents and settings\administrator\local settings\temp\hz$d.877.2156\hz$d.877.2157\sysanti.exe        创建新进程        c:\windows\system32\cmd.exe        允许        [应用程序]*        命令行: cmd /c erase /F "C:\Documents and Settings\Administrator\Local Settings\Temp\HZ$D.877.2156\HZ$D.877.2157\SysAnti.exe" > nul
2012-4-19 21:58:55        c:\windows\system32\svchost.exe        创建文件        C:\AutoRun.inf        允许        [文件]?:\        



差不多了
我打开毒霸
没反应。。。。。。。。。



彻底失败   
桑不起啊啊啊啊啊
更神奇的一幕

  
真的安全吗。。。。。。。。。
55555555
扫描测试
  
扫描出来了
综上所述
k+还需努力
惨败啊啊啊啊啊啊啊啊
桑不起啊
毒霸防御还加下油吧！！
这个是样本   
也不知道到底修复完没？估计又要重装虚拟机了。。。。。。。。。。

谢新

楼主测了隔壁的了吗？楼主测试尽量移步到爱毒霸论坛攻防区，那里的工作人员会及时响应的

qq592019174

谢新 发表于 2012-4-19 22:24
楼主测了隔壁的了吗？楼主测试尽量移步到爱毒霸论坛攻防区，那里的工作人员会及时响应的

你没看到吗？我貌似在爱毒霸社区里面看到过你的
至于隔壁的，在金山网盾事件之后就讨厌死他了，把他卸载得干干净净的

流星街

支持测试哈~楼主去毒霸攻防区发~工作人员会马上开始解决的~

qq592019174

流星街 发表于 2012-4-19 22:35
支持测试哈~楼主去毒霸攻防区发~工作人员会马上开始解决的~

发了，发了

流星街

qq592019174 发表于 2012-4-19 22:37
发了，发了

辛苦啦~感谢测试~

SmilePad

看小时候照片，应该站着的是你

qq592019174

流星街 发表于 2012-4-19 22:39
辛苦啦~感谢测试~

有点爱好老

qq592019174

SmilePad 发表于 2012-4-19 22:41
看小时候照片，应该站着的是你

我以为你要说我帅点也

流星街

qq592019174 发表于 2012-4-19 22:42
有点爱好老

可以的话，还请多多帮忙测试上报问题咯~