病毒行为：

　　注：本分析为多次运行测试结果汇总 因此时间可能会混乱

　　运行后调用自身

　　2008-11-27 15:10:20 运行应用程序

　　进程路径:E:Once33.exe

　　文件路径:E:Once33.exe

　　触发规则:所有程序规则->阻止运行->E:Once*

　　向system32目录释放exe hash一致

　　2008-11-27 15:10:20 创建文件

　　进程路径:E:Once33.exe

　　文件路径:C:WINDOWSsystem32runouce.exe

　　触发规则:所有程序规则->文件阻止及保护->?:*.exe

　　创建启动项

　　2008-11-27 15:10:20 创建注册表值

　　进程路径:E:Once33.exe

　　注册表路径:HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

　　注册表名称:Runonce

　　触发规则:所有程序规则->自动运行->*SOFTWAREMicrosoftWindowsCurrentVersionRun*

　　修改默认shell进程内存

　　2008-11-27 15:10:20 修改其它进程内存

　　进程路径:E:Once33.exe

　　目标进程:C:Program FilesBlackBoxblackbox.exe

　　触发规则:所有程序规则->进程保护->C:Program FilesBlackBoxblackbox.exe

　　全盘修改exe htm文件

　　2008-11-27 15:10:25 修改文件

　　进程路径:E:Once33.exe

　　文件路径:C:Program FilesBlackBoxbsetbg.exe

　　触发规则:所有程序规则->文件阻止及保护->?:*.exe

　　2008-11-27 15:10:25 修改文件

　　进程路径:E:Once33.exe

　　文件路径:C:Program FilesBlackBoxbsetroot.exe

　　触发规则:所有程序规则->文件阻止及保护->?:*.exe

　　2008-11-27 15:10:51 修改文件

　　进程路径:E:Once33.exe

　　文件路径:C:Program FilesBlackBoxpluginsbbpagerBBPager.html

　　触发规则:所有程序规则->保护目录->?:Program Files*

　　2008-11-27 15:11:09 修改文件

　　进程路径:E:Once33.exe

　　文件路径:C:Program FilesCommon FilesSystemadoMDACReadme.htm

　　触发规则:所有程序规则->保护目录->?:Program Files*

　　2008-11-27 15:11:09 修改文件

　　进程路径:E:Once33.exe

　　文件路径:C:Program FilesInternet ExplorerIEXPLORE.EXE

　　触发规则:所有程序规则->文件阻止及保护->?:*.exe

　　联网行为：

　　关键行为：

　　向系统目录创建exe

　　修改默认shell进程内存

　　全盘修改exe htm

　　防范对策：

　　使用HIPS阻止陌生程序向系统目录创建exe

　　使用HIPS阻止陌生程序修改默认shell进程内存

　　使用HIPS阻止陌生程序全盘修改exe htm

　　样本下载：http://bbs.janmeng.com/viewthread.php?tid=821527&extra=page%3D1