U盘病毒一个。

剑舞江南

今天新发现的一个U盘病毒，avast！报告为恶意软件，小红伞和超级巡警也都有报告。

样本下载：

wliao

病毒名称：Virus.Win32.Xorer.alp

jason_jiang

磁碟机，老毒了
microsoft：Virus:Win32/Xorer.gen!A

剑舞江南

原来是磁碟机啊，我还真不知道是它，我是今天才从客户的U盘中捕获的。

hddu

2010-01-06 19:43:34    修改文件      操作:阻止
进程路径:E:\病毒\pagefile\pagefile.pif
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\index.dat
触发规则:应用程序规则->病毒隔离测试->?:\病毒\*->*

2010-01-06 19:43:34    创建文件      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files\Content.IE5\
触发规则:应用程序规则->病毒隔离测试->?:\病毒\*->*

2010-01-06 19:43:34    修改文件      操作:阻止
进程路径:E:\病毒\pagefile\pagefile.pif
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\index.dat
触发规则:应用程序规则->病毒隔离测试->?:\病毒\*->*

2010-01-06 19:43:34    创建文件      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files\Content.IE5\
触发规则:应用程序规则->病毒隔离测试->?:\病毒\*->*

2010-01-06 19:43:34    系统设备控制      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
系统设备名称:\Device\NamedPipe\lsass
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:34    系统设备控制      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
系统设备名称:\Device\NamedPipe\lsass
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:34    创建文件      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
文件路径:E:\pagefile.exe
触发规则:应用程序规则->病毒隔离测试->?:\病毒\*->*

2010-01-06 19:43:34    结束/挂起进程      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
目标进程:C:\Program Files\Filseclab\xfilter\xfilter.exe
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:34    结束/挂起进程      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
目标进程:C:\Program Files\Filseclab\xfilter\xfilter.exe
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:34    结束/挂起进程      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
目标进程:C:\Program Files\Filseclab\xfilter\xfilter.exe
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:35    结束/挂起进程      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
目标进程:C:\Program Files\Filseclab\xfilter\xfilter.exe
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:35    结束/挂起进程      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
目标进程:C:\Program Files\Filseclab\xfilter\xfilter.exe
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:35    删除注册表      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:[Key]
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:39    修改注册表内容      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:ShowSuperHidden
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:39    删除注册表      操作:阻止
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
注册表名称:[Key]
触发规则:高优先规则->受保护的注册表->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

2010-01-06 19:43:39    删除注册表      操作:阻止
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
注册表名称:[Key]
触发规则:高优先规则->受保护的注册表->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

2010-01-06 19:43:39    删除注册表      操作:阻止
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
注册表名称:[Key]
触发规则:高优先规则->受保护的注册表->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

2010-01-06 19:43:39    删除注册表      操作:阻止
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
注册表名称:[Key]
触发规则:高优先规则->受保护的注册表->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Control\Safeboot*

2010-01-06 19:43:39    删除注册表      操作:使用任务隔离区操作
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
注册表名称:[Key]
触发规则:应用程序规则->隔离区设置->C:\EQSandBox\*->*

2010-01-06 19:43:39    创建注册表值      操作:阻止并结束进程
进程路径:E:\病毒\pagefile\pagefile.pif
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\EQSandBox\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
注册表名称:SandBoxKeyDelete
触发规则:高优先规则->受保护的注册表->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options*

satelite

FSCS9有反应

liqing0305

老病毒一个 ~

username

2010-1-6 21:09:45 创建文件 允许
进程: d:\emule\pagefile\pagefile.pif
目标: D:\pagefile.exe
规则: [文件组][A]系统关键文件_自订 -> [文件]?:\

2010-1-6 21:09:45 设置文件隐藏属性 允许
进程: d:\emule\pagefile\pagefile.pif
目标: D:\pagefile.exe
规则: [文件组][A]系统关键文件_自订 -> [文件]?:\

2010-1-6 21:09:46 创建新进程 允许
进程: d:\emule\pagefile\pagefile.pif
目标: d:\pagefile.exe
命令行: d:\pagefile.exe
规则: [应用程序]*

2010-1-6 21:09:51 创建新进程 允许
进程: d:\emule\pagefile\pagefile.pif
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c del /F /Q "d:\pagefile.exe"
规则: [应用程序]*

2010-1-6 21:09:51 向其他进程发送消息 阻止
进程: d:\emule\pagefile\pagefile.pif
目标: d:\program files\comodo\comodo internet security\cfp.exe
消息: WM_QUERYENDSESSION
规则: [应用程序]* -> [目标应用程序]d:\program files\comodo\comodo internet security\cfp.exe
省去类似1000多条

2010-1-6 21:13:00    创建新进程    允许
进程: d:\emule\pagefile\pagefile.pif
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c echo ok
规则: [应用程序]*

2010-1-6 21:13:00    修改注册表值    阻止并结束进程
进程: d:\emule\pagefile\pagefile.pif
目标: HKEY_USERS\S-1-5-21-1202660629-838170752-1801674531-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden
值: 0x00000000(0)
规则: [注册表组]自动击杀用 -> [注册表]*\Software\Microsoft\window*\CurrentVersion\explorer\Advanced; ShowSuperHidden

hxjhe

Virus: Application.Generic.176065 (Engine A), Win32:Agent-AHZB [Drp] (Engine B)

超现实主义

不敢下载了