6个，kav7启发报[MD5: 416D6C E17B5D 4A84C5 E6966F 710ED2 65FB1A]

a256886572008

運行1[1].exe，發現下列行為，被EQ-Secure RC2攔截！
---------------
2007-06-11 17:59:48    运行应用程序      操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:D:\桌面\virus\virus_allenhippo\1[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-11 17:59:54    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\WinForm.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 17:59:55    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\WinForm.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 17:59:55    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\WinForm.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 17:59:55    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\yxcdnl.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 17:59:56    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\yxcdnl.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 17:59:56    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\yxcdnl.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 17:59:57    创建注册表值      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:WinForm
注册表数据:C:\WINDOWS\yxcdnl.exe
规则:所有程序规则->係統自動運行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2007-06-11 17:59:57    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\system32\WinForm.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll


2007-06-11 17:59:57    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\1[1].exe
文件路径:C:\WINDOWS\system32\sssweg.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

-------------------------------------------------------------------------------
1.他會在下列路徑產生WinForm.exe
   C:\WINDOWS\
2.他會在下列路徑產生yxcdnl.exe
   C:\WINDOWS\
3.他會创建注册表值
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   WinForm
   C:\WINDOWS\yxcdnl.exe
4.他會在下列路徑產生WinForm.dll
   C:\WINDOWS\system32\
5.他會在下列路徑產生sssweg.dll
   C:\WINDOWS\system32\

a256886572008

運行7[1].exe，發現下列行為，被EQ-Secure RC2攔截！
--------------
2007-06-11 18:08:24    运行应用程序      操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:D:\桌面\virus\virus_allenhippo\7[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-11 18:08:27    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\MsIMMs32.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 18:08:27    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\MsIMMs32.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 18:08:27    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\MsIMMs32.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 18:08:28    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\tioieb.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 18:08:28    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\tioieb.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 18:08:29    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\tioieb.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe


2007-06-11 18:08:29    创建注册表值      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:MsIMMs32
注册表数据:C:\WINDOWS\tioieb.exe
规则:所有程序规则->係統自動運行_普通模式->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*


2007-06-11 18:08:29    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\system32\MsIMMs32.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll


2007-06-11 18:08:29    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\7[1].exe
文件路径:C:\WINDOWS\system32\dhdqnu.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

---------------------------------------------------------------------------------------------
1.他會在下列路徑產生MsIMMs32.exe
   C:\WINDOWS\
2.他會在下列路徑產生tioieb.exe
   C:\WINDOWS\
3.他會创建注册表值
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   MsIMMs32
   C:\WINDOWS\tioieb.exe
4.他會在下列路徑產生MsIMMs32.dll
   C:\WINDOWS\system32\
5.他會在下列路徑產生dhdqnu.dll
   C:\WINDOWS\system32\

a256886572008

運行9[1].exe，發現下列行為，被EQ-Secure RC2攔截！
-------------
2007-06-11 19:10:25    运行应用程序      操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:D:\桌面\virus\virus_allenhippo\9[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


1987-06-11 19:10:36    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\9[1].exe
文件路径:C:\WINDOWS\system32\Ravasktao.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:10:36    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\9[1].exe
文件路径:C:\WINDOWS\system32\Ravasktao.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:10:36    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\9[1].exe
文件路径:C:\WINDOWS\system32\Ravasktao.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:10:36    运行应用程序      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\9[1].exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c del "D:\桌面\virus\virus_allenhippo\9[1].exe"
规则:所有程序规则->系統程序->%windir%\system32\cmd.exe

------------------------------------------------------------------------------------
1.他會在下列路徑產生Ravasktao.exe
   C:\WINDOWS\system32\
2.他會利用cmd.exe來殺掉自己！
   /c del "D:\桌面\virus\virus_allenhippo\9[1].exe"
3.時間也被改為1987年了！

[ 本帖最后由 a256886572008 于 2007-6-11 19:13 编辑 ]

a256886572008

運行12[1].exe，發現下列行為，被EQ-Secure RC2攔截！
-----------
2007-06-11 19:16:12    运行应用程序      操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:D:\桌面\virus\virus_allenhippo\12[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


1987-06-11 19:16:23    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\12[1].exe
文件路径:C:\WINDOWS\system32\nwizdh.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:16:23    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\12[1].exe
文件路径:C:\WINDOWS\system32\nwizdh.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:16:23    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\12[1].exe
文件路径:C:\WINDOWS\system32\nwizdh.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:16:23    运行应用程序      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\12[1].exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c del "D:\桌面\virus\virus_allenhippo\12[1].exe"
规则:所有程序规则->系統程序->%windir%\system32\cmd.exe

--------------------------------------------------------------------------------------------
1.他會在下列路徑產生nwizdh.exe
   C:\WINDOWS\system32\
2.他會利用cmd.exe來殺掉自己！
   /c del "D:\桌面\virus\virus_allenhippo\12[1].exe"
3.時間也被改為1987年了！

a256886572008

運行17[1].exe，發現下列行為，和12[1].exe一樣
-------------
2007-06-11 19:23:32    运行应用程序      操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:D:\桌面\virus\virus_allenhippo\17[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


1987-06-11 19:23:47    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\17[1].exe
文件路径:C:\WINDOWS\system32\nwizhx2.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:23:48    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\17[1].exe
文件路径:C:\WINDOWS\system32\nwizhx2.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:23:48    创建文件      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\17[1].exe
文件路径:C:\WINDOWS\system32\nwizhx2.exe
规则:所有程序规则->2.1.2保護系統進程->*\*system*.exe


1987-06-11 19:23:48    运行应用程序      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\17[1].exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c del "D:\桌面\virus\virus_allenhippo\17[1].exe"
规则:所有程序规则->系統程序->%windir%\system32\cmd.exe

a256886572008

運行a[1].exe，發現下列行為，被EQ-Secure攔截！
----------------
2007-06-11 19:31:11    运行应用程序      操作:允许
进程路径:C:\WINDOWS\Explorer.EXE
文件路径:D:\桌面\virus\virus_allenhippo\a[1].exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE


2007-06-11 19:31:14    修改其它进程内存      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\a[1].exe
目标进程:C:\Program Files\Internet Explorer\IEXPLORE.EXE
规则:所有程序规则->系統程序->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE


2007-06-11 19:31:14    修改其它进程内存      操作:阻止
进程路径:D:\桌面\virus\virus_allenhippo\a[1].exe
目标进程:C:\Program Files\Internet Explorer\IEXPLORE.EXE
规则:所有程序规则->系統程序->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE

--------------------------------------------------------------------
1.他會修改IEXPLORE.EXE的进程内存

2.運行時，被Comodo Firewall  攔截！

onesand

Begin scan in 'C:\Documents and Settings\huaxun\桌面\virus.rar'
C:\Documents and Settings\huaxun\桌面\virus.rar
  [0] Archive type: RAR
  --> 1[1].exe
      [DETECTION] Contains suspicious code HEUR/Malware
  --> 12[1].exe
      [DETECTION] Is the Trojan horse TR/PSW.OnlineGames.AUP.121
  --> 17[1].exe
      [DETECTION] Contains suspicious code HEUR/Malware
  --> 7[1].exe
      [DETECTION] Contains suspicious code HEUR/Malware
  --> 9[1].exe
      [DETECTION] Contains suspicious code HEUR/Malware
  --> a[1].exe
      [DETECTION] Is the Trojan horse TR/Dldr.Horn.11511
      [INFO]      The file was deleted!


End of the scan: 2007年6月11日  22:48
Used time: 00:08 min