有关Rootkit.Win32.Agent.eui的行为分析

Rootkit.Win32.Agent.eui是属于一种后门类的病毒程序，以下文章通过被感染者的检测实录，分析被Rootkit.Win32.Agent.eui病毒所感染后的计算机行为。

病毒名称：

Kaspersky：Rootkit.Win32.Agent.eui

VT扫描时间：2008.11.17 08:17:40 (CET)

EQS Lab编号：081117195

EQS Lab地址：http://hi.baidu.com/eqsyssecurity

病毒大小：177 KB (181,647 字节)

MD5码：CE1FE5C366A08D06CAAD137888188CF5

测试平台： WinXP SP3系统 (默认Shell为BBlean)   EQSecurity（HIPS） 实机

病毒行为：

注：本分析为多次运行测试结果汇总 因此时间可能会混乱

运行后向temp目录释放dll

2008-11-17 16:20:43  创建文件  

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\Documents and Settings\\Administrator\\Local Settings\\Temp\\nsd12.tmp\\BackOperHelper.dll

触发规则:所有程序规则->Documents and Settings->?:\\Documents and Settings\\*.dll

向windows目录释放随机名tmp dll

2008-11-17 16:20:43  创建文件  

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\WINDOWS\\nsx13.tmp

触发规则:所有程序规则->保护目录->%windir%*

2008-11-17 16:20:45  创建文件   

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\WINDOWS\\winsd82.dll

触发规则:所有程序规则->文件阻止及保护->?:\\*.dll

添加PendingFileRenameOperations启动项

2008-11-17 16:21:04  创建注册表值  

进程路径:E:\\Once\\9\\9.exe

注册表路径:HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Session Manager

注册表名称endingFileRenameOperations

触发规则:所有程序规则->自动运行->*\\SYSTEM\\ControlSet*\\Control\\Session Manager

以命令行调用rundll32.exe

2008-11-17 16:20:56  运行应用程序  

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\WINDOWS\\system32\\rundll32.exe

命令行:/s \”C:\\WINDOWS\\winsd82.dll\”,UpdateIFEOInfo

触发规则:所有程序规则->阻止运行->%windir%\\*

2008-11-17 16:22:08  运行应用程序  

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\WINDOWS\\system32\\rundll32.exe

命令行:/s \”C:\\WINDOWS\\winsd82.dll\”,SendStatisticDataOnInstall

触发规则:所有程序规则->阻止运行->%windir%\\*

2008-11-17 16:23:40  运行应用程序  

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\WINDOWS\\system32\\rundll32.exe

命令行:\”C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\nsv81.tmp\\BackOperHelper.dll\”,CloseExistedDllByRundll32 C:\\WINDOWS\\winsd82.dll

触发规则:所有程序规则->阻止运行->%windir%\\*#p#

向windows目录创建wininit.ini

2008-11-17 16:21:04  创建文件  

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\WINDOWS\\wininit.ini

触发规则:所有程序规则->保护目录->%windir%*

wininit.ini内容：

[Rename]

NUL=C:\\WINDOWS\\nss7E.tmp

NUL=C:\\WINDOWS\\nsd82.tmp

rundll32.exe加载病毒DLL

2008-11-17 16:24:02  加载库文件 

进程路径:C:\\WINDOWS\\system32\\rundll32.exe

文件路径:C:\\Documents and Settings\\Administrator\\Local Settings\\Temp\\nsv81.tmp\\BackOperHelper.dll

触发规则:所有程序规则->阻止运行->?:\\Documents and Settings\\*\\Local Settings\\Temp\\*

rundll32.exe安装钩子

2008-11-17 16:25:33  安装全局钩子  

进程路径:C:\\WINDOWS\\system32\\rundll32.exe

文件路径:C:\\WINDOWS\\winsd82.dll

钩子类型:WH_CALLWNDPROCRET

触发规则:所有程序规则->阻止运行->%windir%\\*

访问服务管理器

2008-11-17 16:24:05  访问服务管理器  

进程路径:E:\\Once\\9\\9.exe

触发规则:所有程序规则->*

创建计划任务

2008-11-17 16:24:13  创建文件  

进程路径:E:\\Once\\9\\9.exe

文件路径:C:\\WINDOWS\\Tasks\\MsUpdateTask.job

触发规则:所有程序规则->保护目录->%windir%*

svchost.exe隐藏并修改SA.DAT

2008-11-17 16:24:57  修改文件  

进程路径:C:\\WINDOWS\\system32\\svchost.exe

文件路径隐藏文件)C:\\WINDOWS\\Tasks\\SA.DAT

触发规则:所有程序规则->保护目录->%windir%*

svchost.exe修改pf文件

2008-11-17 16:25:18  修改文件  

进程路径:C:\\WINDOWS\\system32\\svchost.exe

文件路径:C:\\WINDOWS\\Prefetch\\CSRSS.EXE-12B63473.pf

触发规则:所有程序规则->保护目录->%windir%*

关键行为：

向系统目录创建DLL

创建计划任务文件

调用rundll32.exe

SCM 控制svchost.exe

【编辑推荐】

1. Adobe Acrobat Reader漏洞引发rootkit病毒攻击
2. Linux下用gdb检测内核rootkit的方法
3. 微软研究员演示轻量级的Rootkit保护系统
4. eEye工程介绍:漏洞大曝光 编写引导层RootKit
5. 基于处理器调试机制的Rootkit隐形技术