主页

Win32.Hack.Rootkit.4224

病毒名称(中文):
木马对抗模块4224
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
4224
影响系统:
Win9x WinMe WinNT Win2000 WinXP Win2003

病毒行为:

这是一个病毒驱动文件。它是某木马的组成模块之一。它会恢复系统的SSDT表，让具有主动防御功能的杀毒软件失效。

这是一个驱动文件,通过在驱动层读取ntoskrenl.exe或ntkrnlpa.exe的重定位表获取KeServiceDescriptorTable恢复SSDT.

二.病毒行为

获取当前系统的第一个模块(Xp系统为ntkrnlpa.exe、2000系统为ntoskrnl.exe),得到其模块的基址.

获取KeServiceDescriptorTable.通过重定位表,获取原始系统服务函数地址.

关闭cr0寄存器的写保护,还原经过重定位后的系统服务函数地址.恢复cr0寄存器的写保护.




特别提示：上述描述仅为金山软件进行病毒或其他恶意、不良程序测试过程中的事实情况记录，病毒或其他恶意、不良程序在不同的软硬件环境下具体行为可能存在差异，该显示结果并不必然具备推广适用性。