文件名称：DominoTest.exe\Server.exe

 

文件大小：229632 byte

 

AV命名：Trojan.Win32.Agent.ddl(卡吧斯基)\Backdoor.Win32.Agent.yps(瑞星)

 

加壳方式：未

 

编写语言：Microsoft Visual C++ 6.0

 

文件MD5：18ddeaccc2b08de213eb15a1d453a3b1

 

病毒类型：Rootkit

 

 

 

%Systemroot%\System32\DRIVERS\DominoTest.sys

%Systemroot%\System32\DominoTest.dll

%Systemroot%\System32\DominoTest.exe

%Systemroot%\System32\iecookie.log

%Systemroot%\System32\win32ssl.dll

 

(排名分先后，哈哈```)

 

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MicrosoftNT]
"Type"=dword:00000010
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):43,00,3a,00,5c,00,77,00,69,00,6e,00,6e,00,74,00,5c,00,53,00,\
59,00,53,00,54,00,45,00,4d,00,33,00,32,00,5c,00,44,00,6f,00,6d,00,69,00,6e,\
00,6f,00,54,00,65,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,75,00,\
00,00
"DisplayName"="MicrosoftNT"
"ObjectName"="LocalSystem"
"Description"="Services"

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MicrosoftNT\Security]
"Security"=hex:01,00,14,80,a0,00,00,00,ac,00,00,00,14,00,00,00,30,00,00,00,02,\
00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
00,00,02,00,70,00,04,00,00,00,00,00,18,00,fd,01,02,00,01,01,00,00,00,00,00,\
05,12,00,00,00,00,00,00,00,00,00,1c,00,ff,01,0f,00,01,02,00,00,00,00,00,05,\
20,00,00,00,20,02,00,00,7a,e0,92,4f,00,00,18,00,8d,01,02,00,01,01,00,00,00,\
00,00,05,0b,00,00,00,20,02,00,00,00,00,1c,00,fd,01,02,00,01,02,00,00,00,00,\
00,05,20,00,00,00,23,02,00,00,7a,e0,92,4f,01,01,00,00,00,00,00,05,12,00,00,\
00,01,01,00,00,00,00,00,05,12,00,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MicrosoftNT\Enum]
"0"="Root\\LEGACY_MICROSOFTNT\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

 

 

感染方式和之前的Win32.Downloader类似。增加区段，里面包含加载DominoTest.dll的命令。

 

修复方法：

 

 

 

ZwDeviceIoControlFile    隐藏自身的网络端口。

 

ZwQueryDirectoryFile     隐藏3个文件，防止被删除：

DominoTest.exe
DominoTest.dll
DominoTest.sys

 

ZwWriteVirtualMemory     这个可能是远程控制进程用的。

 

 

 

 

 

用冰刃把DominoTest.exe、DominoTest.dll、DominoTest.sys这3个文件删除就可以了。

 

冰刃可以发现，呵呵

 

 

用可恢复SSDT的工具，修复病毒Hook的API。然后先删除病毒驱动，再删除服务，最后删文件。

 

 

下载PowerRmv，如果你知道路径的话，直接覆盖就可以了，哈哈。

 

不过基本上中这病毒的很难被发现，SREng不能显示其服务项，只能看到驱动。

 

 

利用Anit Rootkit的工具扫描后删除或用杀毒软件清理都可以...