42、揭秘内核恶意软件行为与检测隐蔽僵尸网络通道

揭秘内核恶意软件行为与检测隐蔽僵尸网络通道

1. 内核恶意软件相关分析

在研究内核恶意软件时，Rustock 是一个典型案例。它会操纵一系列外部函数和注册表键，具体如下：
| 类别 | 详情 |
| ---- | ---- |
| 外部函数 | ExAllocatePoolWithTag、ExFreePoolWithTag、ExInitializeNPagedLookasideList、IoAllocateMdl、IoGetCurrentProcess、IoGetDeviceObjectPointer、IoGetRelatedDeviceObject、KeClearEvent、KeDelayExecutionThread、KeEnterCriticalRegion、KeInitializeApc、KeInitializeEvent、KeInitializeMutex、KeInitializeSpinLock、KeInsertQueueApc、KeLeaveCriticalRegion、KeWaitForSingleObject、MmBuildMdlForNonPagedPool、MmMapLockedPages、MmProbeAndLockPages、NtSetInformationProcess、ObfDereferenceObject、ObReferenceObjectByHandle、ProbeForRead、PsCreateSystemThread、PsLookupProcessByProcessId、PsLookupThreadByThreadId、RtlInitUnicodeString、_stricmp、_strnicmp、swprintf、wcschr、wcscpy、_wc