病毒名称(中文):
Rootkit25920
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
25920
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个Rootkit病毒。该病毒会监视userinit.exe和explorer.exe进程，创建、修改注册表启动项、服务项键，躲避安全监视工具,创建文件.
1.该rootkit运后会创建设备名为\Device\KabCleanner的设备,名为\DosDevices\KabCleanner的符号链接
2.rootkit动态搜索ntoskrnl.exe文件,根据ntoskrnl.exe文件结构来获取系统服务表中NtOpenKey,NtClose,NtSetValueKey,NtEnumerateKey,NtCreateFile函数的真实地址
以避免自身对这些函数调用时被安全监视工具截获.
3.rootkit运行后会产生如下注册表键
\registry\machine\system\currentcontrolset\services\saiujrh38l键
键值为:
"Type"=1
"ErrorControl"=1
"DisplayName"="saiujrh38l"
"Group"="SystemBusExtender"
"Start"=0
"imagepath"="System32\DRIVERS\saiujrh38l.sys"
4.该rootkit监视userinit.exe进程和explorer.exe进程的创建.
若userinit.exe进程创建,则修改注册表的\registry\machine\software\microsoft\windows\currentversion\runonce键,
并设置键值为%systemroot%\system32\Rundll32.exe%systemroot%\system32\55Id.dll,DllUnregisterServer.
若explorer.exe进程创建,则创建一个新线程,用以完成%SystemRoot%\system32\drivers\saiujrh38l.sys和%systemRoot%\system32\55gld.dll的创建
