360安全卫士全部版本会在安装过程中在用户系统上安装一个注册表操作后门程序，该后门可以绕过操作系统的安全检查机制任意操作（设置、删除等）用户的注册表。由于该程序没有对调用者进行检查，导致任意程序（如各种木马程序等）可以通过该后门任意操作（设置、删除等）用户的注册表系统。
该后门包括两个文件：
1. bregdrv.sys：内核模式驱动，该驱动程序通过调用操作系统的未公开CmXxx系列函数来操作注册表，另外由于操作系统内部本身维护了很多同步数据、缓存数据，直接调用CmXxx系列函数操作注册表极有可能造成系统内部数据不同步，严重影响系统安全性，甚至可能导致用户正常数据丢失；
2. bregdll.dll：用户态动态库，该动态库封装了对bregdrv.sys的调用，为用户态程序提供注册表操作后门的接口；
1、bregdrv.sys
处理 IoControl ：
通过CmDeleteKey实现注册表键值的删除操作：
2、bregdll.dll
BRegDeleteKeyW函数中调用驱动的0x7be2058号IoControl实现删除注册表键值操作：
【编辑推荐】
- 360公开致谢NT Internals 已于第一时间修复漏洞
文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/148154.html<
