MyDocument.exe——打印店病毒

hddu

2012-05-23 22:55:00    创建注册表值      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
注册表路径:HKEY_CLASSES_ROOT\cacafile\shell\open\command
注册表名称:[Key]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*file\shell\*\command


2012-05-23 22:55:00    创建注册表值      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
注册表路径:HKEY_CLASSES_ROOT\cacafile\shell\open\command
注册表名称:[Key]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*file\shell\*\command


2012-05-23 22:55:00    创建注册表值      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
注册表路径:HKEY_CLASSES_ROOT\cacafile\shell\open\command
注册表名称:[Key]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*file\shell\*\command


2012-05-23 22:55:00    创建注册表值      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
注册表路径:HKEY_CLASSES_ROOT\cacafile\shell\open\command
注册表名称:[Key]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*file\shell\*\command


2012-05-23 22:55:00    创建注册表值      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
注册表路径:HKEY_CLASSES_ROOT\cacafile\shell\open\command
注册表名称:[Key]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*file\shell\*\command


2012-05-23 22:55:00    创建注册表值      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
注册表路径:HKEY_CLASSES_ROOT\cacafile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\*file\shell\*\command


2012-05-23 22:55:00    创建注册表值      操作:阻止
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:[Default]
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2012-05-23 22:55:00    创建文件      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocument.exe
文件路径:C:\Program Files\system.caca
触发规则:所有程序规则->%ProgramFiles%设置->%ProgramFiles%\*

hddu

2012-05-23 23:04:32    创建文件      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocuments.exe
文件路径:C:\WINDOWS\system32\7FF741\
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*


2012-05-23 23:04:33    运行应用程序      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocuments.exe
文件路径:C:\WINDOWS\explorer.exe
命令行:F:\virus\复印店著名病毒MyDucument\MyDocuments
触发规则:所有程序规则->系统进程设置->%windir%\Explorer.EXE


2012-05-23 23:04:34    创建文件      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocuments.exe
文件路径:C:\WINDOWS\system32\7FF741\40B076.EXE
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2012-05-23 23:04:34    运行应用程序      操作:允许
进程路径:F:\virus\复印店著名病毒MyDucument\MyDocuments.exe
文件路径:C:\WINDOWS\system32\7FF741\40B076.EXE
触发规则:应用程序规则->程序->?:\*


2012-05-23 23:04:40    修改文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\7FF741\
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->$parent$\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\2934FB\
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\1E753F\
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\C74ACC\
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*


2012-05-23 23:04:40    修改文件      操作:阻止
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\2934FB\
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\2934FB\dp1.fne
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\2934FB\eAPI.fne
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\2934FB\HtmlView.fne
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\2934FB\internet.fne
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2012-05-23 23:04:40    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\WINDOWS\system32\2934FB\krnln.fnr
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2012-05-23 23:04:42    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\7FF741\40B076.EXE
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\CCF5C8.lnk
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\*菜单\程序\启动\*.lnk

hddu

fearlessshi

中毒后手动修复，可以参考这篇文章。
注册表解禁磁盘映像劫持Gpedit.msc要选择打开方式
打开记事本输入以下内容（注意不要把一行代码拆开，这里拆开是没办法）
　　Dim unchain
　　Set unchain=wscript.createobject("wscript.shell")
　　unchain.popup("取消禁用注册表")
　　unchain.regwrite"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
　　\DisableRegistryTools",00000000,"REG_DWORD"
　　unchain.popup("解锁成功")
　　wscript.popup.quit()
　　最后保存为" unchain.vbs ",双击它即可解锁（这个我用过，成功解锁）。
　　记事本编辑如下内容的文件：
　　[Version]
　　Signature=“$CHICAGO$”
　　[DefaultInstall]
　　DelReg=del
　　[del]
　　HKCU,Software\Microsoft\Windows\CurrentVersion\Policies\
　　System,Disableregistrytools,
　　1,00,00,00,00
　　在运行中输入regedit.exe和msconfig.exe命令时，打不开注册表编辑器和系统配置实用程序。系统提示windows找不到文件 regedit.exe和msconfig.exe。在安装光盘中复制了同样的文件到windows目录下，也还是不行。问题的本质是磁盘映像劫持，即使你双击这个程序，执行的也不是这个程序，非常的可怕，解决方法如下：
　　进入windows目录，将regedit.exe更名为123.com,双击123.com进入注册表编辑器，到
　　[HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion
　　\Image File Execution Options]下将regedit.exe regedit32.exe taskmgr.exe的子项删除就行了
　　gpedit.msc有的时候会让你选择打开方式，这个问题的本质是病毒修改了文件关联，修复方法如下
　　打开“我的电脑”，工具，文件夹选项，文件类型，找到MSC并选择，点高级，选择里面的“打开（0）”，把用于执行操作的应用程序改为 C:\WINDOWS\system32\mmc.exe "%1" %*，并选择使用DDE，下面的“应用程序”框里写mmc,然后一直确定下去即可完成修复。

zaqwe3008

据说 打印店的病毒样本最多的   这个下来玩玩 ..

hx1997

humanlwj52 发表于 2012-5-23 22:01
ESET killed:

C:\Users\TOSHIBA\Desktop\复印店著名病毒MyDucument\MyDocument.exe - Win32/Agent.SQU 特 ...

ESET 和 FS 可以装在一起吗？我这里装一起就蓝屏。

kxmp

u盘病毒都这样

Nocria

hx1997 发表于 2012-5-25 20:37
ESET 和 FS 可以装在一起吗？我这里装一起就蓝屏。

应该不可以，我这里也是这样。
现在我的 FS 是装虚拟机里的。