比较奇怪的一个病毒,各位请分析下

cdchhy

TF隔离

Hacker29cn

SEP11直接隔离，报木马

yjwfdc

2009-12-11 01:07:26    创建文件      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\RG60Plus\Temp\GXD.txt
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2009-12-11 01:07:29    创建文件      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\RG60Plus\Temp\FLD.txt
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2009-12-11 01:07:34    修改文件      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\病毒\文件伪装王\liudu.dll
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2009-12-11 01:07:42    修改文件      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\病毒\文件伪装王\liudu.dll
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2009-12-11 01:07:43    修改文件      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\病毒\文件伪装王\liudu.dll
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2009-12-11 01:07:52    运行应用程序      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\病毒\文件伪装王\wjjwz.exe
命令行:"D:\病毒\文件伪装王\liudu.dll"
触发规则:应用程序规则->-------飘逸_yjwfdc------x交互->*\病毒\*


2009-12-11 01:08:12    创建文件      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\RG60Plus\Temp\ins_cs_QQ.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2009-12-11 01:08:22    创建注册表值      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
注册表名称:D:\RG60Plus\Temp\ins_cs_QQ.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------x->*\病毒\*


2009-12-11 01:08:25    运行应用程序      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\RG60Plus\Temp\ins_cs_QQ.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------x交互->*\病毒\*


2009-12-11 01:08:39    运行应用程序      操作:允许
进程路径:D:\RG60Plus\Temp\ins_cs_QQ.exe
文件路径:D:\RG60Plus\Temp\is-ATUV3.tmp\is-2V0IL.tmp
命令行:/SL4 $1703A2 D:\RG60Plus\Temp\ins_cs_QQ.exe 408632 50688
触发规则:所有程序规则->060_行为防御-坚固->*.tmp


2009-12-11 01:08:44    创建文件      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\RG60Plus\Temp\fusong.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------->*\病毒\*->*


2009-12-11 01:08:46    运行应用程序      操作:允许
进程路径:D:\RG60Plus\Temp\is-ATUV3.tmp\is-2V0IL.tmp
文件路径:D:\RG60Plus\Temp\is-A5IQE.tmp\crverify.exe
触发规则:所有程序规则->060_行为防御-坚固->*.exe


2009-12-11 01:08:46    创建注册表值      操作:阻止
进程路径:D:\RG60Plus\Temp\is-A5IQE.tmp\crverify.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager
注册表名称:PendingFileRenameOperations
触发规则:所有程序规则->014_注意_坚固->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Control\Session Manager


2009-12-11 01:08:46    安装全局钩子      操作:阻止并结束进程
进程路径:D:\RG60Plus\Temp\is-A5IQE.tmp\crverify.exe
文件路径:D:\RG60Plus\Temp\CSM2.tmp
钩子类型:WH_MOUSE
触发规则:所有程序规则->003禁止的操作->*\Temp\*


2009-12-11 01:09:01    创建注册表值      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
注册表名称:D:\RG60Plus\Temp\fusong.exe
触发规则:应用程序规则->-------飘逸_yjwfdc------x->*\病毒\*


2009-12-11 01:09:07    运行应用程序      操作:允许
进程路径:D:\病毒\文件伪装王\wjjwz.exe
文件路径:D:\RG60Plus\Temp\fusong.exe
命令行:h
触发规则:应用程序规则->-------飘逸_yjwfdc------x交互->*\病毒\*


2009-12-11 01:09:07    修改注册表内容      操作:阻止
进程路径:D:\RG60Plus\Temp\fusong.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
注册表名称:Start Page
更改后:http://www.2345.com/?304
触发规则:所有程序规则->014_注意_坚固->*\Software\Microsoft\Internet Explorer\Main

kalynn84

Win32:Malware-gen