病毒名称：AntiVir ：TR/Killav.PO

　　Kaspersky ：Trojan.Win32.Agent.aepv

　　NOD32v2：-

　　Rising ：Backdoor.Win32.XiaoNiu.h

　　VT扫描时间：2008.09.26 09:38:37 (CET)

　　EQS Lab编号：080926080

　　EQS Lab地址：http://hi.baidu.com/eqsyssecurity

　　病毒大小：157 KB (160,768 字节)

　　MD5码：8DA645D7DC2D8B2CA6AE67140BB3220D

　　病毒类型： 特洛伊木马

　　主要传播方式： 网络

　　测试平台： WinXP SP3系统 (默认Shell为BBlean) EQSecurity（HIPS） 实机

　　危害程度：★★★☆☆

　　病毒行为：

　　运行后读取进程内存

　　Quote:

　　2008-09-26 14:38:26 读取其它进程内存

　　进程路径:F:Once57.exe

　　目标进程:D:Mini Soft鱼鱼桌面FishDesk.exe

　　触发规则:所有程序规则->*

　　调用taskkill.exe

　　Quote:

　　2008-09-26 14:38:33 运行应用程序

　　进程路径:F:Once57.exe

　　文件路径:C:WINDOWSsystem32taskkill.exe

　　命令行:/im 360tray.exe /f

　　触发规则:所有程序规则->系统工具->%windir%system32taskkill.exe

　　SCM

　　Quote:

　　2008-09-26 14:38:38 访问服务管理器

　　进程路径:F:Once57.exe

　　触发规则:所有程序规则->*

　　创建DLL

　　Quote:

　　2008-09-26 14:38:39 创建文件

　　进程路径:F:Once57.exe

　　文件路径:C:windowssystem32mpeg4c32.dll

　　触发规则:所有程序规则->文件阻止及保护->?:*.dll

　　新建svchost.exe进程加载DLL

　　Quote:

　　2008-09-26 14:39:46 加载库文件

　　进程路径:C:WINDOWSsystem32svchost.exe

　　文件路径:C:WINDOWSsystem32mpeg4c32.dll

　　触发规则:所有程序规则->*

　　自删除

　　Quote:

　　2008-09-26 14:38:51 运行应用程序

　　进程路径:F:Once57.exe

　　文件路径:C:WINDOWSsystem32cmd.exe

　　命令行:/c ping localhost -n 1 && del "F:Once57.exe"

　　触发规则:高优先规则->In Side->%windir%system32cmd.exe

　　联网行为：

　　关键行为：

　　调用taskkill.exe

　　创建DLL

　　SCM控制svchost.exe加载DLL

　　HIPS防范对策：

　　阻止陌生程序调用taskkill.exe

　　阻止陌生程序创建DLL

　　阻止陌生程序CM控制svchost.exe加载DLL