搞到了个病毒，想看看它想干什么，扔虚拟机里跑了几次。PS: 这个病毒真大，9M 多了。

第一次，观察到其进程结构为一个 winloads.exe 进程下生成三个 xviewer.exe 工作进程。winloads.exe 无法被 Process Explorer 杀死，而 xviewer.exe 可以。工作进程总保持为三个。病毒运行过程中，耳机不时传来 Windows 页面刷新的声音，猜测这家伙在用浏览器。第二次使用 Process Monitor 观察的结果证实了这个猜测，xviewer.exe 在大量访问C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat文件。不过，Process Monitor 可能还是太弱了，不能看到事件的详细信息，也没看到网络访问。

第三次测试，将 vbox 的 NAT 网卡关掉，只留下一块 host only 的。然后本机开启 NAT 转发：

sudo sh -c "echo 1 > /proc/sys/net/ipv4/ip_forward"
sudo iptables -t nat -A POSTROUTING -s 192.168.56.0/24 -j MASQUERADE

使用 Wireshark 在 vboxnet0 接口上监听。虚拟机上手动设置网关为192.168.56.1，DNS 服务器为我本机上的 dnsmasq，也就是相同的地址。

设定好后，再次运行病毒，可以看到其

1. 首先访问 www.wandianji.com 上的列表文件（http://www.wandianji.com/xsoft/update/update_plug_v2.txt）来更新；
2. 再使用 POST 请求访问，获取一格式不明的链接列表；
3. 接着开始访问百度，搜索关键词，访问网页。

原来是刷搜索排名的。难怪百度的搜索结果那么差，国内这些东西估计有不小的贡献吧？

PS: 我是用 XueTr 来结束病毒的进程们的，这个软件不支持进程树显示，但是可以多选来同时杀掉多个进程。

病毒样本及抓包结果下载链接在此。