通过修改explorer.exe内存隐藏文件及注册表项

记录今天分析的一个隐藏自身及注册表项的病毒。

1.概述：

（1）此病毒文件为路径为：C:\Windows7\4D525EC1C14.exe，且注册了自启动项：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run  [UU5DUD3ZUFYW3W5YYPBNVTTD]   C:\Windows7\4D525EC1C14.exe/q。

（2）在资源管理器里看不到windows7这个文件夹。在regedit.exe中HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项中也找不到 [UU5DUD3ZUFYW3W5YYPBNVTTD] 这个键。

（3）在xuetr里能看上上述文件夹及注册表键。

2.分析：

（1）用xuetr查看explorer.exe的进程钩子如下图：

可以看到NtEnumerateValueKey和NtQueryDirectoryFile两个函数被钩了，基本可以确定这就是看不到病毒文件及注册表项的原因。

（2）试图用xuetr恢复钩子失败，说明有进程在守护，很有可能是4D525EC1C14.exe。但是在进程及线程中找不到4D525EC1C14.exe。于是用xuetr删除病毒的自启动项，再重启系统发现windows7文件夹和注册表项都可以看见。于是可以确定病毒的运行模式是4D525EC1C14.exe开机启动，然后修改explorer.exe的内存并隐藏自身。