卡巴斯基杀毒软件进程（avp.exe）进程文件:avp.exe进程名称:avp描述:avp.exe是卡巴斯基杀毒软件的相关程序。但如果你的系统没有安装该软件，则可能是将死者病毒的文件，它本身是一个压缩文件，如果打开压缩文件，就会变成136kb的文件。此病毒是用visual basic编写，且经过压缩软件upx压缩，反解压工具处理，使之用原始的upx不能解压。由于是vb编写的病毒，它运行时就需要一个vb的动态链接库msvbvm60.dll，若用户的计算机里没这个文件，病毒就无法被激活，这些用户则会幸免于难。出品者:卡巴斯基工作室属于:卡巴斯基
系统进程:否
后台进程:是
使用网络:否
硬件相关:否
常见错误:未知
内存使用:1,564K 16,000K
安全等级:0
间谍软件:否
广告软件:否
病毒:否
木马:否
最近电脑突然卡，发现进程了多了很多个sos.exe
感觉不对，马上用在线杀毒http://www.antidu.cn/board/online/ 查杀
瑞星报毒！！！
病毒名称：Trojan.Win32.Agent.awz [exe]（Kaspersky）
病毒别名：Trojan.Win32.Delf.rsx [exe]（瑞星）, Trojan.PSW.Win32.OnlineGames.do [dll]（瑞星）
Win32.PSWTroj.Maran.jh.239104 [dll]（毒霸）
传播方式：恶意网页下载，其它病毒或木马下载
技术分析
网游木马，运行后释放文件到系统目录下：
%Windows%avp.exe
%System%hvsound2.dll
使用批处理delplme.bat删除自身：
@echo off
:loop
del "{原文件}"
if exist "{原文件}" goto loop
del delplme.bat
创建服务：
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesVGADown]
显示名：Audio Adapter
可执行文件的路径：%Windows%avp.exe
修改Winsock供应者：
MSAFD Tcpip [TCP/IP] %System%hvsound2.dll
MSAFD Tcpip [RAW/IP] %System%hvsound2.dll
清除步骤
1. 删除木马创建的服务：
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesVGADown]
2. 重命名木马文件：
%System%hvsound2.dll
3. 重新启动计算机
4. 删除木马文件：
%Windows%avp.exe
重命名过的%System%hvsound2.dll
5. 在SREng的“系统修复”->“Winsock供应者”中删除%System%hvsound2.dll对应的两个项目：
MSAFD Tcpip [TCP/IP]
MSAFD Tcpip [RAW/IP]
注：如果重启后网络不正常（如打不开网页），可以使用WinsockFix等工具进行修复
英文版本
进程文件: avp.exe or avp
进程名称: Kaspersky Anti病毒 Module
描述:
avp.exe is a process belonging to Kaspersky Internet Security Suite which protects your computer against Internet-bound threats such as spyware and trojans which can be distributed through e-mail or attack directly to the computer allowing unauthorized access to your computer. This program is important for the stable and secure running of your computer and should not be terminated.
Note: avp.exe is a process which is registered as a trojan. This 木马 allows attackers to access your computer from remote locations, stealing passwords, Internet banking and personal data. This process is a security risk and should be removed from your system.
Determining whether avp.exe is a virus or a legitimate Windows process depends on the directory location it executes or runs from in WinTasks.
Recommendation for avp.exe:
avp.exe should not be disabled, required for essential applications to work properly.
Author: Kaspersky Labs
Part Of: Kaspersky Internet Security Suite
安全等级 (0-5): 0
间谍软件: No
病毒: No ( Remove avp.exe )
木马: No ( Remove avp.exe )
Memory Usage: N/A
System Process: Yes
Background Process: No
Uses Network: No
Hardware Related: No
Common avp.exe Errors: N/A
ImTOO 3GP Converter 的一个组件
伪装成卡巴的盗号木马avp.exe杀除方法[1]此病毒是用visual basic编写，且经过压缩软件upx压缩，反解压工具处理，使之用原始的upx不能解压。由于是vb编写的病毒，它运行时就需要一个vb的动态链接库msvbvm60.dll，若用户的计算机里没这个文件，病毒就无法被激活，这些用户则会幸免于难。
运行该样本后，该样本借助看图软件（本机为acdsee）打开，为一美女图片
释放文件：
%system%hs4viewer.dll
%windir%avp.exe
还有其他一些完成使命后自我删除的文件
%system%delplme.bat
%documents and settings%计算机名local settingstemprarsfx0.jpg
%documents and settings%计算机名local settingstemprarsfx0server.exe
……
添加系统服务
[hkey_local_machinesystemcontrolset003servicesvgadown]
[hkey_local_machinesystemcontrolset003enumrootlegacy_vgadown]
指向%windir%avp.exe
加载驱动（系统正常文件，处理时别动它）
[hkey_local_machinesystemcontrolset003servicesws2ifsl]
%system%driversws2ifsl.sys
作恶特点：
1、avp.exe冒充卡巴斯基的正常进程
2、修改spi,添加hs4viewer.dll，这个难以说清楚，跟以前的流氓软件roogoo差不多，看hijackthis和sreng日志体现吧
winsock提供者
msafd tcpip [tcp/ip]
c:windowssystem32hs4viewer.dll（n/a, n/a）
o10 - unknown file in winsock lsp: %system%hs4viewer.dll
[2]解决过程：
1、清除掉病毒avp.exe
如果装有卡巴斯基，可以使用procexp来判断哪个avp.exe是病毒进程，终止该进程后，删除avp.exe以及其添加的注册表信息，如
[hkey_local_machinesystemcontrolset003servicesvgadown]
[hkey_local_machinesystemcontrolset003enumrootlegacy_vgadown]
%windir%avp.exe
要是不嫌麻烦，可以先删除其创建的注册表服务信息，然后重启，再删除avp.exe
2、使用lspfix.exe或其他工具来解决掉hs4viewer.dll
这个尤其要注意，不要蛮干，别搞的上不了网，个人习惯使用lspfix.exe，使用介绍以及其他相关事项在这里
lspfix处理完毕后，再手工删除%system%hs4viewer.dll