Win32.TrojDownloader.HmirT.a.25920

病毒名称(中文):

Rootkit25920病毒别名:

威胁级别:

病毒类型:

木马程序病毒长度:

25920影响系统:

Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行为:

这是一个Rootkit病毒。该病毒会监视userinit.exe和explorer.exe进程，创建、修改注册表启动项、服务项键，躲避安全监视工具,创建文件.

1. 该rootkit运后会创建设备名为\\Device\\KabCleanner的设备,名为\\DosDevices\\KabCleanner的符号链接

2. rootkit动态搜索ntoskrnl.exe文件,根据ntoskrnl.exe文件结构来获取系统服务表中NtOpenKey,NtClose,NtSetValueKey,NtEnumerateKey,NtCreateFile函数的真实地址

以避免自身对这些函数调用时被安全监视工具截获.

3.　rootkit运行后会产生如下注册表键

\\registry\\machine\\system\\currentcontrolset\\services\\saiujrh38l键

键值为:

"Type"=1

" ErrorControl"=1

"DisplayName"="saiujrh38l"

"Group"="System Bus Extender"

"Start"=0

"imagepath" = "System32\\DRIVERS\\saiujrh38l.sys"

4.该rootkit监视userinit.exe进程和explorer.exe进程的创建.

若userinit.exe进程创建,则修改注册表的\\registry\\machine\\software\\microsoft\\windows\\currentversion\\runonce键 ,

并设置键值为 %systemroot%\\system32\\Rundll32.exe %systemroot%\\system32\\55Id.dll,DllUnregisterServer .

若explorer.exe进程创建,则创建一个新线程,用以完成%SystemRoot%\\system32\\drivers\\saiujrh38l.sys和%systemRoot%\\system32\\55gld.dll的创建