搞到了个病毒，想看看它想干什么，扔虚拟机里跑了几次。PS: 这个病毒真大，9M 多了。
第一次，观察到其进程结构为一个 winloads.exe 进程下生成三个 xviewer.exe 工作进程。winloads.exe 无法被 Process Explorer 杀死，而 xviewer.exe 可以。工作进程总保持为三个。病毒运行过程中，耳机不时传来 Windows 页面刷新的声音，猜测这家伙在用浏览器。第二次使用 Process Monitor 观察的结果证实了这个猜测，xviewer.exe 在大量访问C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat文件。不过，Process Monitor 可能还是太弱了，不能看到事件的详细信息，也没看到网络访问。
第三次测试，将 vbox 的 NAT 网卡关掉，只留下一块 host only 的。然后本机开启 NAT 转发：
sudo sh -c "echo 1 > /proc/sys/net/ipv4/ip_forward" sudo iptables -t nat -A POSTROUTING -s 192.168.56.0/24 -j MASQUERADE
使用 Wireshark 在 vboxnet0 接口上监听。虚拟机上手动设置网关为192.168.56.1，DNS 服务器为我本机上的 dnsmasq，也就是相同的地址。
设定好后，再次运行病毒，可以看到其
- 首先访问 www.wandianji.com 上的列表文件（http://www.wandianji.com/xsoft/update/update_plug_v2.txt）来更新；
- 再使用 POST 请求访问，获取一格式不明的链接列表；
- 接着开始访问百度，搜索关键词，访问网页。
原来是刷搜索排名的。难怪百度的搜索结果那么差，国内这些东西估计有不小的贡献吧？
PS: 我是用 XueTr 来结束病毒的进程们的，这个软件不支持进程树显示，但是可以多选来同时杀掉多个进程。
病毒样本及抓包结果下载链接在此。
