同学电脑里抓来的，貌似很牛，求分析

dyc941126

室友电脑中病毒了，样本如下，这是不是传说中的BMW病毒？？求行为分析和解决方案。。

蓝天二号

很牛，，直接红色报警，。，

yzm763529

z2009

firefox3

20120420 115933        扫描 '单击右键扫描' 已启动。
20120420 115937        在 "C:\Users\A\Desktop\样本.rar\和情人的相片" 中检测到 病毒/间谍软件'Mal/TinyDL-T'。清除不可用。
20120420 115937        感染病毒的文件"C:\Users\lf\Desktop\样本.rar"已删除。
20120420 115937        扫描 '单击右键扫描' 已完成。
20120420 115937        扫描'单击右键扫描'摘要：
                已扫描项目：2
                错误：0
                已隔离项目：0
                已处置项目：1

liwnpin

360杀

sanhu35

不给权限，不加入任何组运行

2012-4-20 20:13:15    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\1\和情人的相片.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*; Startup

2012-4-20 20:13:15    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\1\和情人的相片.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Startup
值: C:\Documents and Settings\All Users\「开始」菜单\程序\启动
规则: [注册表组]资源管理器 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*; Common Startup

2012-4-20 20:13:15    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\1\和情人的相片.exe
目标: C:\WINDOWS\system32\pagefile.exe
规则: [文件组]只读磁盘 -> [文件]c:\*

2012-4-20 20:13:15    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\1\和情人的相片.exe
目标: C:\WINDOWS\system32\w3wp.exe
规则: [文件组]只读磁盘 -> [文件]c:\*


2012-4-20 20:13:30    结束其他进程    阻止
进程: c:\documents and settings\administrator\桌面\1\和情人的相片.exe
目标: d:\program files\tencent\qq\bin\qq.exe
规则: [应用程序]* -> [目标应用程序]*\qq.exe




2012-4-20 20:13:30    创建新进程    阻止
进程: c:\documents and settings\administrator\桌面\1\和情人的相片.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\WINDOWS\system32\cmd.exe /c del "C:\Documents and Settings\Administrator\桌面\1\和情人的相片.exe"
规则: [应用程序]* -> [子应用程序]『禁运』黑名单



至少盗QQ 鉴定完毕

处理流程：
1.结束所有可疑的病毒进程
   和情人的相片.exe pagefile.exe     w3wp.exe
2.工具删除隐藏的
目标: C:\WINDOWS\system32\pagefile.exe
目标: C:\WINDOWS\system32\w3wp.exe

3。清理注册表垃圾
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run\pagefile.exe

xiuzhiguo

卡巴斯基安全部队
2012
拒绝访问
无法访问该网页

请求对象位于网址：

http://bbs.kafan.cn/forum.php?mod=
attachment&aid=MTYxMjUwNnxhZjljMTUzM3wxM
zM0OTI1NjAzfDY1Mjk3MHwxMjcyMjAw

检测到威胁：

对象已感染病毒Worm.Win32.AutoRun.ehs

发生时间： 20:40:25

风雪冰天

mse扫描样本发现病毒 病毒名称为Worm:Win32/Mocmex.gen!A

留侯

文件加了壳，大蜘蛛：
___=E9_____=E0_=AC packed by UPACK
___=E9_____=E0_=AC infected with Trojan.DownLoad.7455