代理登入器變種AZZ病毒

此程式為DL類型程式 1、病毒運行後，會把自己複製到%system32%目錄下，檔案名稱為：kernelwind32.exe。並釋放一個驅動程式：檔案名稱為：kernelw.sys。

(1)kernelwind32.exe是病毒本身。

(2)Kernelw.sys是一個惡意的驅動程式，當該驅動被載入後，會禁止以下程式載入或運行：vsdatant.sys，watchdog.sys，zclient.exe，bcfilter.sys，bcftdi.sys，bc_hassh_f.sys，bc_ip_f.sys，bc_ngn.sys，bc_pat_f.sys，bc_prt_f.sys，bc_tdi_f.sys，filtnt.sys，sandbox.sys，mpfirewall.sys，msssrv.exe，mcshield.exe，fsbl.exe，avz.exe，avp.exe，avpm.exe，kav.exe，kavss.exe，kavsvc.exe，klswd.exe，ccapp.exe，ccevtmgr.exe，ccpxysvc.exe，iao.exe，issvc.exe，rtvscan.exe，savscan.exe，bdss.exe，bdmcon.exe，livesrv.exe，cclaw.exe，fsav32.exe，fsm32.exe，gcasserv.exe，icmon.exe，inetupd.exe，nod32krn.exe，nod32ra.exe，pavfnsvr.exe，Windows-KB890830-V1.32.exe。

（3）驅動程式HOOK了ZwQueryDirectoryFile，ZwEnumerateValueKey使用戶在我的電腦中，無法查看到檔案名稱、註冊表、進程中含有kernelw字元串的檔案。

2、繞過Windows自帶防火牆；

病毒利用windows的netsh命令在不經過用戶允許的情況下強制把自己加入到Windows防火牆的可用列表中，這樣當病毒運行後，要連線主機要下載檔案時，Windows防火牆就會自動放過病毒程式。

病毒用netsh的以下命令行繞過Windows自帶防火牆：netsh firewall set allowedprogram VirusName enable。運行後，病毒等待3秒時間，讓以上程式執行。

3、3秒以後病毒會修改註冊表項，為病毒以後啟動作些準備。

(1)增加啟動項，當系統在次啟動後，病毒也隨系統一起運行：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run

"System" = C:\WINDOWS\system32\kernelwind32.exe

(2)禁用任務管理器，當用CTRL+ALT+DELETE後，會出現任務管理被禁用的提示。

代理登入器變種AZZ病毒

基本介紹

相關詞條

熱門詞條