病毒大百科

这是某木马的组成模块，用于对抗具有主动防御功能的杀毒软件和一些安全工具。它能通过还原SSDT表的方式，使得一些杀软的主动防御功能失效，并解除部分安全工具对系统的保护，为整个木马的下一步作案扫清障碍。

使用IoRegisterDriverReinitialization把驱动自身的一个函数注册为驱动初始化时的一个回调函数。

恢复SSDT.

把设备"\Driver\atapi"的处理例程全部修改为病毒的某个函数(使这个例程函数不执行任何操作).IRP_MJ_DEVICE_CONTROL、IRP_MJ_INTERNAL_DEVICE_CONTROL、IRP_MJ_POWER、IRP_MJ_SYSTEM_CONTROL、IRP_MJ_PNP 这五个处理例程指向原来的.

把设备"\Driver\Disk"的处理例程全部修改为指向IRP_MJ_CREATE的处理例程.

通过在ZwAccessCheckAndAuditAlarm取得KiSystemService的地址，在KiSystemService函数地址头开始搜索指定指令(范围为300h)，搜索的指令为"MOV EBX, DWORD PTR DS:[EDI+EAX*4]"，搜索到则向后三位(即该条指令后)，还原五个字节.

引用"\Driver\SafeDog"的对象，还原IoGetDeviceObjectPointer的头五个字节,然后对DgbPrint进行InlineHook，jmp到本驱动的一个函数。