病毒行为：

　　注：本分析为多次运行测试结果汇总　 因此时间可能会混乱

　　运行后删除正常SSODL注册表

　　2008-12-11 21:26:46 　 　　注册表保护(删除注册表) 　

　　进程路径:E:Once样本样本.exe

　　注册表路径:HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad

　　注册表名称:JavaView

　　2008-12-11 21:26:47 　 　　注册表保护(删除注册表) 　

　　进程路径:E:Once样本样本.exe

　　注册表路径:HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad

　　注册表名称:DesktopWin

　　向Messenger目录释放dll

　　2008-12-11 21:26:37 　 　　文件保护(创建文件) 　

　　进程路径:E:Once样本样本.exe

　　文件路径:C:Program FilesMessengermsgmr.dll

　　创建ShellServiceObjectDelayLoad启动项

　　2008-12-11 21:26:37 　 　　注册表保护(创建注册表值) 　

　　进程路径:E:Once样本样本.exe

　　注册表路径:HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad

　　注册表名称:msnmsg

　　调用rundll32.exe　 加载病毒DLL

　　2008-12-11 21:26:40 　 　　应用程序保护(运行应用程序) 　

　　进程路径:E:Once样本样本.exe

　　文件路径:C:WINDOWSsystem32rundll32.exe

　　命令行:"C:Program FilesMessengermsgmr.dll",UIMessage

　　创建自删除BAT

　　2008-12-11 21:25:22 　 　　文件保护(创建文件) 　

　　进程路径:E:Once样本样本.exe

　　文件路径:C:WINDOWSsystem32unxxx.bat

　　BAT内容：

　　:pp

　　del "E:Once样本样本.exe"

　　if exist "E:Once样本样本.exe" goto pp

　　del "C:WINDOWSsystem32unxxx.bat"

　　控制rundll32.exe向Fonts目录创建库文件

　　2008-12-11 21:28:25 　 　　应用程序保护(加载库文件) 　

　　进程路径:C:WINDOWSsystem32rundll32.exe

　　文件路径:C:Program FilesMessengermsgmr.dll

　　2008-12-11 21:28:25 　 　　文件保护(创建文件) 　

　　进程路径:C:WINDOWSsystem32rundll32.exe

　　文件路径:C:WINDOWSFontsFramdee.ttf

　　2008-12-11 21:29:26 　 　　应用程序保护(加载库文件) 　

　　进程路径:C:WINDOWSsystem32rundll32.exe

　　文件路径:C:WINDOWSFontsFramdee.ttf

　　调用IE　 并修改内存　 控制IE　 联网下载

　　2008-12-11 21:29:31 　 　　应用程序保护(运行应用程序) 　

　　进程路径:C:WINDOWSsystem32rundll32.exe

　　文件路径:C:Program FilesInternet ExplorerIEXPLORE.EXE

　　命令行:-nohome

　　2008-12-11 21:29:33 　 　　应用程序保护(修改其它进程内存) 　

　　进程路径:C:WINDOWSsystem32rundll32.exe

　　目标进程:C:Program FilesInternet ExplorerIEXPLORE.EXE

　　2008-12-11 21:30:24 文件保护(创建文件) 　

　　进程路径:C:Program FilesInternet ExplorerIEXPLORE.EXE

　　文件路径:C:Documents and SettingsAdministratorLocal SettingsTemp1.bmp

　　调用下载物

　　2008-12-11 21:31:04 　 　　应用程序保护(运行应用程序) 　

　　进程路径:C:WINDOWSsystem32rundll32.exe

　　文件路径:C:Documents and SettingsAdministratorLocal SettingsTemp1.bmp

　　联网行为：

　　Photo1.gif (10.83 KB)

　　2008-12-11 21:54

　　关键行为：

　　向系统目录创建DLL

　　调用IE

　　防范对策：

　　使用HIPS阻止陌生程序向系统目录创建DLL

　　使用HIPS阻止陌生程序调用IE

　　使用HIPS阻止陌生程序调用rundll32.exe

　　使用HIPS阻止陌生程序创建ShellServiceObjectDelayLoad启动项

　　使用HIPS阻止陌生程序删除ShellServiceObjectDelayLoad

　　样本下载：http://bbs.kafan.cn/viewthread.php?tid=385199&extra=page%3D1&frombbs=1