DominoTest.exe\Server.exe，Trojan.Win32.Agent.ddl病毒分析

DominoTest.exe\Server.exe，Trojan.Win32.Agent.ddl病毒分析
文件名称：DominoTest.exe\Server.exe

文件大小：229632 byte

AV命名：Trojan.Win32.Agent.ddl(卡吧斯基)\Backdoor.Win32.Agent.yps(瑞星)

加壳方式：未

编写语言：Microsoft Visual C++ 6.0

文件MD5：18ddeaccc2b08de213eb15a1d453a3b1

病毒类型：Rootkit

行为（不一定全）：

1、释放病毒副本：

%Systemroot%\System32\DRIVERS\DominoTest.sys

%Systemroot%\System32\DominoTest.dll

%Systemroot%\System32\DominoTest.exe

%Systemroot%\System32\iecookie.log

%Systemroot%\System32\win32ssl.dll

(排名分先后，哈哈```)

2、注册系统服务，开机启动：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MicrosoftNT]
"Type"=dword:00000010
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):43,00,3a,00,5c,00,77,00,69,00,6e,00,6e,00,74,00,5c,00,53,00,\
59,00,53,00,54,00,45,00,4d,00,33,00,32,00,5c,00,44,00,6f,00,6d,00,69,00,6e,\
00,6f,00,54,00,65,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,75,00,\
00,00
"DisplayName"="MicrosoftNT"
"ObjectName"="LocalSystem"
"Description"="Services"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MicrosoftNT\Security]
"Security"=hex:01,00,14,80,a0,00,00,00,ac,00,00,00,14,00,00,00,30,00,00,00,02,\
00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,\
00,00,02,00,70,00,04,00,00,00,00,00,18,00,fd,01,02,00,01,01,00,00,00,00,00,\
05,12,00,00,00,00,00,00,00,00,00,1c,00,ff,01,0f,00,01,02,00,00,00,00,00,05,\
20,00,00,00,20,02,00,00,7a,e0,92,4f,00,00,18,00,8d,01,02,00,01,01,00,00,00,\
00,00,05,0b,00,00,00,20,02,00,00,00,00,1c,00,fd,01,02,00,01,02,00,00,00,00,\
00,05,20,00,00,00,23,02,00,00,7a,e0,92,4f,01,01,00,00,00,00,00,05,12,00,00,\
00,01,01,00,00,00,00,00,05,12,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MicrosoftNT\Enum]
"0"="Root\\LEGACY_MICROSOFTNT\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

3、查找并获得SFC恢复台函数地址（SFC.dll），在感染系统文件Explorer.exe时防止被恢复。

感染方式和之前的Win32.Downloader类似。增加区段，里面包含加载DominoTest.dll的命令。



4、通过DominoTest.sys驱动修改SSDT，使以下函数指向自身。

ZwDeviceIoControlFile    隐藏自身的网络端口。

ZwQueryDirectoryFile     隐藏3个文件，防止被删除：


DominoTest.exe
DominoTest.dll
DominoTest.sys

ZwWriteVirtualMemory     这个可能是远程控制进程用的。

5、反弹连接控制端，可能使用端口复用技术，但是没有实现。

6、DominoTest.dll注入Lsass.exe、Svchost.exe进程，So..每次开机都以这种无进程方式加载。