通过修改explorer.exe内存隐藏文件及注册表项

记录今天分析的一个隐藏自身及注册表项的病毒。

1.概述：

（1）此病毒文件为路径为：C:\Windows7\4D525EC1C14.exe，且注册了自启动项：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run [UU5DUD3ZUFYW3W5YYPBNVTTD] C:\Windows7\4D525EC1C14.exe/q。

（2）在资源管理器里看不到windows7这个文件夹。在regedit.exe中HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项中也找不到 [UU5DUD3ZUFYW3W5YYPBNVTTD] 这个键。

（3）在xuetr里能看上上述文件夹及注册表键。

2.分析：

（1）用xuetr查看explorer.exe的进程钩子如下图：

可以看到NtEnumerateValueKey和NtQueryDirectoryFile两个函数被钩了，基本可以确定这就是看不到病毒文件及注册表项的原因。

（2）试图用xuetr恢复钩子失败，说明有进程在守护，很有可能是4D525EC1C14.exe。但是在进程及线程中找不到4D525EC1C14.exe。于是用xuetr删除病毒的自启动项，再重启系统发现windows7文件夹和注册表项都可以看见。于是可以确定病毒的运行模式是4D525EC1C14.exe开机启动，然后修改explorer.exe的内存并隐藏自身。

通过修改explorer.exe内存隐藏文件及注册表项相关推荐

服务器iis7.5 配置文件,使用注册表项 - Internet Information Services | Microsoft Docs
Internet 信息服务使用的注册表项的说明 07/21/2020 本文内容本文介绍了 Microsoft Internet Information Services (IIS) 在 Window ...
java8 注册表_异常 - 错误：注册表项'Software \ JavaSoft \ Java Runtime Environment'\ CurrentVersion'？...
异常 - 错误:注册表项'Software \ JavaSoft \ Java Runtime Environment'\ CurrentVersion'? 这个问题在这里已有答案: Java错误打开 ...
木马爱修改的常见注册表项及其功能
IE相关: 设置IE多线程下载网页的线程数: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings ...
命令编写注册表文件修改注册表项
命令编写注册表文件修改注册表项 1.何谓REG文件 REG文件实际上是一种注册表脚本文件,双击REG文件即可将其中的数据导入到注册表中.利用REG文件我们可以直接对注册表进行任何修改操作,它对注册表的 ...
编写注册表文件修改注册表项
编写注册表文件修改注册表项 1.何谓REG文件 REG文件实际上是一种注册表脚本文件,双击REG文件即可将其中的数据导入到注册表中.利用REG文件我们可以直接对注册表进行任何修改操作,它对注册表的操作 ...
IE主页注册表项修改
IE主页注册表项修改一.对IE浏览器产生破坏的网页病毒: (一).默认主页被修改 1.破坏特性:默认主页被自动改为某网站的网址. 2.表现形式:浏览器的默认主页被自动设为如********.COM的 ...
Internet Explorer 设置注册表中设置IE（Windows安全设置之注册表项）
Windows安全设置之注册表项在IE4.0以上的版本中,IE的安全设置一般都存贮在这两个地方: 1.HKEY_CURRENT_USER\Software\Microsoft\Windows\Cur ...
Win8 解决错误 1406。安装程序无法将值OSE.exe写入注册表项。无法保存对main权限所作的更改
我的个人blog2018-9上线,地址:http://www.biegral.com 用了破Win8.装个Office2013都蛋疼. 下载了怎么安装都不对,感觉整理一个完美的解决方案. 安装错误1: ...
Microsoft Visio Premium 2010安装过程中遇到错误1402所需修改的注册表项
2019独角兽企业重金招聘Python工程师标准>>> 昨天为了画一个数据库的模型图,装了下Visio,结果安装的时候一直报1402的错误,而且每次安装时候遇到这个错误,都需要回滚重 ...

通过修改explorer.exe内存隐藏文件及注册表项

通过修改explorer.exe内存隐藏文件及注册表项相关推荐

最新文章

热门文章