病毒名称：BitDefender：BehavesLike:Win32.ExplorerHijack
Kaspersky：Trojan-GameThief.Win32.Nilage.egv
病毒行为：
运行后创建PendingFileRenameOperations启动项
2008-10-03 15:13:01 创建注册表值
进程路径:F:Once33.exe
注册表路径:HKEY_LOCAL_MACHINESYSTEMControlSet001ControlSession Manager
注册表名称:PendingFileRenameOperations
触发规则:所有程序规则->自动运行->*SYSTEMControlSet*ControlSession Manager
释放exe并隐藏 调用
2008-10-03 15:13:01 创建文件 HASH一致
进程路径:F:Once33.exe
文件路径:C:windows397389M.exe
触发规则:所有程序规则->文件阻止及保护->?:*.exe
2008-10-03 15:13:13 修改文件
进程路径:F:Once33.exe
文件路径:(隐藏文件)C:WINDOWS397389M.exe
触发规则:所有程序规则->文件阻止及保护->?:*.exe
2008-10-03 15:13:47 运行应用程序 操作:允许
进程路径:F:Once33.exe
文件路径:C:WINDOWS397389M.exe
触发规则:所有程序规则->阻止运行->%windir%*
自删除
2008-10-03 15:13:54 运行应用程序
进程路径:F:Once33.exe
文件路径:C:WINDOWSsystem32cmd.exe
命令行:/c del F:Once33.exe > nul
触发规则:高优先规则->In Side->%windir%system32cmd.exe
释放DLL
2008-10-03 15:13:47 创建文件
进程路径:C:WINDOWS397389M.exe
文件路径:C:windows397389MM.DLL
触发规则:所有程序规则->文件阻止及保护->?:*.dll
创建PendingFileRenameOperations启动项
2008-10-03 15:14:03 创建注册表值
进程路径:C:WINDOWS397389M.exe
注册表路径:HKEY_LOCAL_MACHINESYSTEMControlSet001ControlSession Manager
注册表名称:PendingFileRenameOperations
触发规则:所有程序规则->自动运行->*SYSTEMControlSet*ControlSession Manager
联网行为：
关键行为：
向系统目录创建exe dll
HIPS防范对策：
阻止陌生程序向系统目录创建exe dll
阻止陌生程序创建PendingFileRenameOperations启动项
版权与免责声明
1、本站所发布的文章仅供技术交流参考，本站不主张将其做为决策的依据，浏览者可自愿选择采信与否，本站不对因采信这些信息所产生的任何问题负责。
2、本站部分文章来源于网络，其版权为原权利人所有。由于来源之故，有的文章未能获得作者姓名，署“未知”或“佚名”。对于这些文章，有知悉作者姓名的请告知本站，以便及时署名。如果作者要求删除，我们将予以删除。除此之外本站不再承担其它责任。
3、本站部分文章来源于本站原创，本站拥有所有权利。
4、如对本站发布的信息有异议，请联系我们，经本站确认后，将在三个工作日内做出修改或删除处理。
请参阅权责声明！