行为分析-Worm.Win32.AutoRun.eip.docVIP

　　行为分析:Worm.Win32.AutoRun.eip～教育资源库 　　病毒名称： Kaspersky： D5码： dc5a3368e7cf5ef9d6f40138a7006712 　　packers： NSPack 　　病毒类型： 下载者、Autorun病毒 　　主要传播方式： 网络挂马、移动设备 　　测试平台： icrosoft SharedMSINFO目录生成病毒副本 并设置为隐藏 　　2008-07-07 23:06:15 创建文件 　　进程路径:F:Once11Recyc1ed.exe 　　文件路径:C:Program Filesmon FilesMicrosoft SharedMSINFORecyc1ed.exe 　　触发规则:所有程序规则-gt;全局文件规则_普通模式-gt;?:*.exe 　　2008-07-07 23:06:54 修改文件 　　进程路径:F:Once11Recyc1ed.exe 　　文件路径:(隐藏文件)C:Program Filesmon FilesMicrosoft SharedMSInfoRecyc1ed.exe 　　触发规则:所有程序规则-gt;全局文件规则_普通模式-gt;?:*.exe 　　向各盘根目录生成病毒副本 及autorun.inf文件 　　2008-07-07 23:06:15 创建文件 　　进程路径:F:Once11Recyc1ed.exe 　　文件路径:D:AutoRun.inf 　　触发规则:所有程序规则-gt;全局文件规则_普通模式-gt;?:autorun.inf 　　2008-07-07 23:06:15 创建文件 　　进程路径:F:Once11Recyc1ed.exe 　　文件路径:D:Recyc1ed.exe 　　触发规则:所有程序规则-gt;全局文件规则_普通模式-gt;?:*.exe 　　通过SCM 控制services.exe安装服务或驱动 　　2008-07-07 23:06:21 访问服务管理器 　　进程路径:F:Once11Recyc1ed.exe 　　触发规则:所有程序规则-gt;* 　　2008-07-07 23:06:31 安装服务或者驱动 　　进程路径:C:32services.exe 　　文件路径:C:Program Filesmon FilesMicrosoft SharedMSINFORecyc1ed.exe 　　触发规则:所有程序规则-gt;Block APP Run-gt;C:Program Files* 　　生成自删除bat 　　2008-07-07 23:06:31 创建文件 　　进程路径:F:Once11Recyc1ed.exe 　　文件路径:C:Program Filesmon FilesMicrosoft SharedMSINFODelSvel.bat 　　触发规则:所有程序规则-gt;全局文件规则_普通模式-gt;?:*.bat 　　调用病毒副本 　　2008-07-07 23:07:19 运行应用程序 　　进程路径:F:Once11Recyc1ed.exe 　　文件路径:C:Program Filesmon FilesMicrosoft SharedMSINFORecyc1ed.exe 　　触发规则:所有程序规则-gt;Block APP Run-gt;C:Program Files* 　　向system32目录生成另一个病毒副本 并设置为隐藏 　　2008-07-07 23:07:20 创建文件 　　进程路径:C:Program Filesmon FilesMicrosoft SharedMSINFORecyc1ed.exe 　　文件路径:C:32_Recyc1ed.exe 　　触发规则:所有程序规则-gt;全局文件规则_普通模式-gt;?:*.exe 　　2008-07-07 23:08:32 修改文件 　　进程路径:C:Program Filesmon FilesMicrosoft SharedMSInfoRecyc1ed.exe 　　文件路径:(隐藏文件)C:icrosoft SharedMSInfoRecyc1ed.exe 　　文件路径:C:32mstsc.exe 　　触发规则:所有程序规则-gt;Block APP Run-gt;%stsc.exe 　　2008-07-07 23:08:55 修改其它进程内存 　　进程路径:C:Program Filesmon FilesMicrosoft SharedMSInfoRecyc1ed.exe 　　目标进程:C:32mstsc.exe 　　触发规则:所有程序规则-gt;Blo