sample*2，样本陆续送上。

XywCloud

为了防止卡饭吞样本，我很无奈，只好每层楼发一个样本。
非常抱歉……那剩下的3个样本都超过了500k……所以只有2x样本了

7758521wang

360杀

港岛妹妹

江民無檢測

/tiao眼镜鱼

avast拦截

XywCloud

next

蓝天二号

瑞星

XywCloud

好吧，又找到两个。

大蒜

Windows8中双击。

zmzcy

就测了一个

00315

360下载保护报毒，解压双击运行未报毒
防御日志如下【倒序】
时间        操作        说明        次数
19:18:38        自动允许        修改 系统常用文件夹        1
详细描述：
注册表位置：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\[AppData]
注册表内容：C:\Documents and Settings\Administrator\Application Data
进程：C:\WINDOWS\system32\svchost.exe
19:18:34        自动允许        修改 系统常用文件夹        1
详细描述：
注册表位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\[Common Desktop]
注册表内容：C:\DOCUME~1\ALLUSE~1\桌面
进程：C:\WINDOWS\system32\grpconv.exe
19:18:34        自动允许        修改 系统常用文件夹        1
详细描述：
注册表位置：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\[Desktop]
注册表内容：C:\DOCUME~1\ADMINI~1\桌面
进程：C:\WINDOWS\system32\grpconv.exe
19:18:34        已允许        修改 系统常用文件夹        1
详细描述：
注册表位置：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\[Programs]
注册表内容：C:\DOCUME~1\ADMINI~1\「开始」菜单\程序
进程：C:\WINDOWS\system32\grpconv.exe
19:17:17        自动允许        修改 系统常用文件夹        1
详细描述：
注册表位置：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\[Desktop]
注册表内容：C:\DOCUME~1\ADMINI~1\桌面
进程：C:\WINDOWS\system32\runonce.exe
19:17:17        已允许        修改 系统常用文件夹        1
详细描述：
注册表位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\[Common Documents]
注册表内容：C:\DOCUME~1\ALLUSE~1\Documents
进程：C:\WINDOWS\system32\runonce.exe
19:16:52        已允许        修改 开机启动项        1
详细描述：
注册表位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\[GrpConv]
注册表内容：grpconv -o
进程：C:\WINDOWS\system32\rundll32.exe

金山未知，扫描安全，运行样本，防御日志如下【倒序】
系统防御日志 如下:
[2012-06-25 19:18:20]说明:写注册表操作:已允许进程:C:\WINDOWS\system32\grpconv.exe注册表位置:HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command注册表项名:[NULL]注册表内容:C:\WINDOWS\system32\grpconv.exe %1操作文件 MD5:e14a4f57324bda3a6d17dda0189368d8
[2012-06-25 19:17:47]说明:创建注册表键操作:已允许进程:C:\WINDOWS\system32\grpconv.exe注册表位置:HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.grp操作文件 MD5:e14a4f57324bda3a6d17dda0189368d8
[2012-06-25 19:16:41]说明:写注册表操作:已允许进程:C:\WINDOWS\system32\rundll32.exe注册表位置:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce注册表项名:GrpConv注册表内容:grpconv -o功能:注册表防御操作文件 MD5:a5dd94434c702493d4577e966134b303
[2012-06-25 19:15:19]说明:创建进程操作:已允许进程:C:\WINDOWS\explorer.exe子进程:C:\WINDOWS\system32\ntvdm.exe进程参数:-f -i2 -ws -a C:\WINDOWS\system32\krnl386.exe操作文件 MD5:9eb867933136ad37eaf7f2ecb97e3a4d目标文件 MD5:1ad3f91f7fe3c341e1e79bc931b80064
[2012-06-25 19:14:30]说明:创建进程操作:已拒绝进程:C:\WINDOWS\explorer.exe子进程:C:\WINDOWS\system32\ntvdm.exe进程参数:-f -i1 -ws -a C:\WINDOWS\system32\krnl386.exe操作文件 MD5:9eb867933136ad37eaf7f2ecb97e3a4d目标文件 MD5:1ad3f91f7fe3c341e1e79bc931b80064
贴几张截图