机器狗病毒技术分析

最新推荐文章于 2025-02-26 20:38:37 发布

原创

最新推荐文章于 2025-02-26 20:38:37 发布 · 1.5k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#hook #object #dll #patch #算法 #c

本文详细分析了机器狗新变种的病毒技术，包括修复SSDT Hook、FSD Hook、针对还原软件的Hook，以及其如何下载木马。通过钩子技术，病毒能够绕过系统保护，修复关键函数的SVA，并实现对还原系统的规避。

作者: 水中雁
时间: 2008-05-15,23:36
链接: http://bbs.pediy.com/showthread.php?t=64902

3年前在看雪论坛注册了个号，但嫌ID不好听，因此一直没有发过帖。后来想换个ID，却发现不能注册了。昨天来逛逛，发现能注册了，终于注册了个自己比较喜欢的ID。
分析比较长，仅贴出驱动部分的分析。完整版请参看附件。（已贴附件）
附件包含：
机器狗0506技术剖析.pdf
dll_unpack.idb
sys.idb
由于自己能力有限，以及基本没有动态调试。故难免有所纰漏或错误，请各位不吝指正。

摘要
机器狗新变种使用了一些流行的技术，包含了修复SSDT Hook、修复FSD Hook、并对一些系统还原软件进行有针对的Hook，使能达到突破还原软件保护的目的。做了那么多，最终目的还是下载大量的木马到用户的系统上。
一、修复SSDT
1、获取内核第一个模块名(XP系统：ntkrnlpa.exe)及SVA(System Virtual Adrress)，映射一份ntkrnlpa.exe到内存中，根据导出表获取KeServiceDescriptorTable的RVA转换成VA，为X，根据重定位表信息获得需要重定位的地址Y，比较[Y]是否等于X，否则循环，是则比较[Y-2]的特征是否是5C7h，是则取[Y+4]到Z。即：
C705E046480040C94200mov ds:_KeServiceDescriptorTable, offset _KiServiceTable
因此，Z得到的是_KiServiceTa

最低0.47元/天解锁文章