Xred和Sality

Xred：

感染型病毒，会感染系统中特定目录下的exe和xlsx文件，病毒自身会伪装成Synaptics触摸板程序，使用Dephi编写。

传播：

文件分享和U盘、移动硬盘

常见域名：xred.moo.com

一般会访问链接，下载文件

会出现目录：C:\programData\Synaptics\

排查：

硬盘可用空间变少，蠕虫自复制会使用计算机的可用空间，计算机性能降低，病毒会破坏系统导致系统文件缺失、功能缺失，一些蠕虫会主动向外网发起大量请求

事件：

1、查看常见exe文件，解压文件，比原文件大，可能被感染

2、在出口防火墙查看服务网内网服务器不断向境外IP发起主动连接，跟踪进程，推测服务主进程被感染，使用病毒查杀工具全盘查杀寻找异常

复制任意一个exe'文件到桌面都会被感染，然后被修改成触摸板驱动程序

使用XLSM资源感染xlsx后缀文件，将其修改为xlsm修改后缀是为了能够自动静默启用宏

清毒

对异常文件进行在线病毒扫描，查杀工具查杀文件

Sality

会感染系统内的exe和src文件，将文件作为传播和复制的手段，在文件中植入恶意代码导致文件损坏和系统崩溃

病毒会全盘便利并感染文件，同时注入病毒线程到所有进程中，导致系统资源占用，系统性能下降，或者下载安装大量恶意软件

禁用安全功能：如关闭防火墙、禁止系统更新

窃取个人信息：如账号密码、机密文件

专门的工具进行查杀