使用Process Monitor对病毒进行行为分析

使用火绒剑/Procss Moniter对病毒进行行为分析。
Process Monitor是一个经典的进程行为分析软件，火绒剑作为火绒的一个工具，专门作为病毒行为分析的工具，非常好用，本文以熊猫烧香为例进行行为分析。

实验环境及工具

win7 x86
Process Monitor(因为火绒剑在病毒运行后打不开窗口)

行为分析

第一步：运行“”熊猫烧香，并进行监控
使用过滤器，对PID 2724进行过滤。

之后监控到的就全是病毒进程的行为了。

查看进程树，在进程树中可以发现，“熊猫烧香.exe”衍生出了spoclsv.exe。衍生出的进程又打开了两次“cmd.exe”。第一次运行的命令是:

cmd.exe /c net share C$ /del /y

它的意思是在命令行模式下删除C盘的网络共享，执行完后关闭cmd.exe。因为我的系统只有一个C盘，因此有理由相信，这个病毒应该是会关闭系 统中所有的盘的网络共享。第二次运行的命令是：

cmd.exe /c net share admin$ /del /y

这里取消的是系统根目录的共享。那么