.

Amelia

卡巴2011拦截

我是新手

Trojan.Win32.Extortioner.b
Trojan.Win32.Extortioner.c

Hacker29cn

金山SP5 Kill：

521HDL

微软FEP报2个！

无悔あ狼

诺顿查杀

showzhan

360网盾直接报了. 呵呵

hujiwa

在偶这无法运行，两悲剧的病毒

www89698220

悟心之道

下载文件：样本.7z
木马名称：Win32.Troj.DelFile.fk.(kclo...
这个木马可能破坏您的电脑系统，窃取账号密码

zuo

第一个：
2010-12-11 13:04:22    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\All Users\Documents\My Music\示例音乐\Beethoven's Symphony No. 9 (Scherzo).wma
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.wma

2010-12-11 13:04:22    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\All Users\Documents\My Music\示例音乐\New Stories (Highway Blues).wma
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.wma

2010-12-11 13:04:22    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\All Users\Documents\My Pictures\示例图片\Blue hills.jpg
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.jpg

2010-12-11 13:04:22    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\All Users\Documents\My Pictures\示例图片\Sunset.jpg
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.jpg

2010-12-11 13:04:22    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\All Users\Documents\My Pictures\示例图片\Water lilies.jpg
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.jpg

2010-12-11 13:04:22    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\All Users\Documents\My Pictures\示例图片\Winter.jpg
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.jpg

2010-12-11 13:04:24    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\qvod_63_vip\qvod_63_vip.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:25    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\uploadm\uploadm.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:25    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\PowerToolV3.2\PowerToolV3.2\EnglishDll.dll
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.dll
2010-12-11 13:04:26    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\PowerToolV3.2\PowerToolV3.2\PowerTool.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:27    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\PowerToolV3.2\PowerToolV3.2\ShellExtend.dll
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.dll

2010-12-11 13:04:27    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\PowerToolV3.2\PowerToolV3.2\说明.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:27    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\process explorer1204\Process Explorer\Eula.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:27    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\process explorer1204\Process Explorer\procexp.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:28    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\process explorer1204\Process Explorer\汉化说明.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:28    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\XueTr\readme.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:28    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\XueTr\XueTr.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:28    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ARK工具及类似工具\XueTr\说明.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:28    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ProcessMonitor\Eula.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:29    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\ProcessMonitor\Procmon.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:29    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\反文件捆绑工具\还我“清白之身”——捆绑文件分离大法\help.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:29    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\反文件捆绑工具\还我“清白之身”——捆绑文件分离大法\meng.dll
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.dll

2010-12-11 13:04:30    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\反文件捆绑工具\还我“清白之身”——捆绑文件分离大法\mview21.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:30    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\sreng2\Licence.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:30    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\sreng2\readme.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:31    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\sreng2\SREngLdr.EXE
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:31    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\sreng2\Upload\3rdUpd.DLL
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.dll

2010-12-11 13:04:32    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\SREng日志分析助手1.4\info1.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:32    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\SREng日志分析助手1.4\info2.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:32    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\SREng日志分析助手1.4\分析助手.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:33    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\扫描日志工具及日志分析工具\SREng日志分析助手1.4\分析助手800x600.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:33    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\文件删除及解锁工具\EasyDelete1.1.90\EasyDelete\说明文档.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全小工具\病毒扫描工具\NPE.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\AMD命令大全.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\CIMA Comodo病毒在线分析服务(在线沙盘).docx
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.docx

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\CIMA Comodo病毒在线分析服务(在线沙盘)附图.png
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.png

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\HIPS的含义.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\SREng工具的用法.docx
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.docx

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\SREng日志分析中的注意点.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\TCSEC的含义.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\Xuetr.docx
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.docx

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\【杀毒不求人】.docx
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.docx

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\反病毒知识.docx
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.docx

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\密码.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\恶意网页症状及修复方法汇集.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\手杀病毒.docx
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.docx

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\收藏.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\病毒救援系列——鼓哥版！SREng日志全分析！.docx
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.docx

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\直捅病毒的要害-----病毒常修改的注册表位置.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:34    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\安全知识\解除防盗链图片.txt
规则: [文件组]文件安全读写规则(允许创建，阻止修改、删除) -> [文件]*; *.txt

2010-12-11 13:04:35    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\样本\DelFiles.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:36    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\样本\系统玉鬼魅.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:37    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\病毒[1]\病毒\setup_qvod.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:37    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\程序\ChinaNetClientV2.1070405-CH.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:38    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\程序\IE8-WindowsXP-x86-CHS.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:39    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\程序\md_setup_chs.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:39    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\程序\setup_av_free_cns.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:40    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\Administrator\桌面\程序\wrar393sc_1.exe
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.exe

2010-12-11 13:04:41    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\delfiles.exe
目标: C:\Documents and Settings\All Users\桌面\Malware Defender.lnk
规则: [文件组]系统文件夹写保护(询问修改) -> [文件]*桌面; *.lnk








第二个：
2010-12-11 12:55:37    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp3.tmp
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SYSTEM\*ControlSet*\Control\Session Manager; *FileRenameOperations

2010-12-11 12:55:37    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\WINDOWS\fxsst.dll
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SYSTEM\*ControlSet*\Control\Session Manager; *FileRenameOperations

2010-12-11 12:55:37    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
值: \??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp4.tmp
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SYSTEM\*ControlSet*\Control\Session Manager; *FileRenameOperations

2010-12-11 12:55:41    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\run_dws_file.bat
规则: [文件组]文件安全读写规则(询问创建) -> [文件]*temp\*; *.bat

2010-12-11 12:55:41    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\tmp_ext_favurl_cab.bat
规则: [文件组]文件安全读写规则(询问创建) -> [文件]*temp\*; *.bat

2010-12-11 12:55:42    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\tmp_ext_deskurl_cab.bat
规则: [文件组]文件安全读写规则(询问创建) -> [文件]*temp\*; *.bat

2010-12-11 12:55:43    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cache

2010-12-11 12:55:44    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [注册表组]IE浏览器设置保护(询问) -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders; Cookies

2010-12-11 12:55:44    创建新进程    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\iexplore.exe" http://tc.92mh.com/
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\program files\internet explorer\iexplore.exe

2010-12-11 12:55:45    修改注册表值    阻止
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\cmd.exe
值: Windows Command Processor
规则: [注册表组]系统关键设置保护(阻止) -> [注册表]*\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache

2010-12-11 12:55:45    创建新进程    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\qvod_63_vip\qvod_63_vip.exe
目标: c:\windows\system32\cmd.exe
命令行: "C:\WINDOWS\system32\cmd.exe" /c del C:\DOCUME~1\ADMINI~1\桌面\QVOD_6~1\QVOD_6~1.EXE > nul
规则: [应用程序组]所有程序规则-系统程序执行规则 -> [应用程序]* -> [子应用程序]c:\windows\system32\cmd.exe

2010-12-11 12:58:20    删除文件    阻止
进程: c:\documents and settings\administrator\桌面\样本\系统玉鬼魅.exe
目标: C:\WINDOWS\system32\qwinsta.exe
规则: [文件组]系统文件加强型保护(防修改) -> [文件]c:\windows\system32; qwinsta.exe


……（疯狂删除系统文件夹里的文件）


2010-12-11 12:59:51    删除文件    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\样本\系统玉鬼魅.exe
目标: C:\WINDOWS\system32\1033\dwintl.dll
规则: [文件组]文件安全读写规则(询问修改、删除) -> [文件]*; *.dll