Rootkit.Win32.Agent.eui是屬于一種后門類的病毒程序，以下文章通過(guò)被感染者的檢測(cè)實(shí)錄，分析被Rootkit.Win32.Agent.eui病毒所感染后的計(jì)算機(jī)行為。
病毒名稱：
Kaspersky：Rootkit.Win32.Agent.eui
VT掃描時(shí)間：2008.11.17 08:17:40 (CET)
EQS Lab編號(hào)：081117195
EQS Lab地址：http://hi.baidu.com/eqsyssecurity
病毒大�。�177 KB (181,647 字節(jié))
MD5碼：CE1FE5C366A08D06CAAD137888188CF5
測(cè)試平臺(tái)： WinXP SP3系統(tǒng) (默認(rèn)Shell為BBlean) EQSecurity（HIPS） 實(shí)機(jī)
病毒行為：
注：本分析為多次運(yùn)行測(cè)試結(jié)果匯總 因此時(shí)間可能會(huì)混亂
運(yùn)行后向temp目錄釋放dll
2008-11-17 16:20:43 創(chuàng)建文件
進(jìn)程路徑:E:\\Once\\9\\9.exe
文件路徑:C:\\Documents and Settings\\Administrator\\Local Settings\\Temp\\nsd12.tmp\\BackOperHelper.dll
觸發(fā)規(guī)則:所有程序規(guī)則->Documents and Settings->?:\\Documents and Settings\\*.dll
向windows目錄釋放隨機(jī)名tmp dll
2008-11-17 16:20:43 創(chuàng)建文件
進(jìn)程路徑:E:\\Once\\9\\9.exe
文件路徑:C:\\WINDOWS\\nsx13.tmp
觸發(fā)規(guī)則:所有程序規(guī)則->保護(hù)目錄->%windir%*
2008-11-17 16:20:45 創(chuàng)建文件
進(jìn)程路徑:E:\\Once\\9\\9.exe
文件路徑:C:\\WINDOWS\\winsd82.dll
觸發(fā)規(guī)則:所有程序規(guī)則->文件阻止及保護(hù)->?:\\*.dll
添加PendingFileRenameOperations啟動(dòng)項(xiàng)
2008-11-17 16:21:04 創(chuàng)建注冊(cè)表值
進(jìn)程路徑:E:\\Once\\9\\9.exe
注冊(cè)表路徑:HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Session Manager
注冊(cè)表名稱endingFileRenameOperations
觸發(fā)規(guī)則:所有程序規(guī)則->自動(dòng)運(yùn)行->*\\SYSTEM\\ControlSet*\\Control\\Session Manager
以命令行調(diào)用rundll32.exe
2008-11-17 16:20:56 運(yùn)行應(yīng)用程序
進(jìn)程路徑:E:\\Once\\9\\9.exe
文件路徑:C:\\WINDOWS\\system32\\rundll32.exe
命令行:/s \"C:\\WINDOWS\\winsd82.dll\",UpdateIFEOInfo
觸發(fā)規(guī)則:所有程序規(guī)則->阻止運(yùn)行->%windir%\\*
2008-11-17 16:22:08 運(yùn)行應(yīng)用程序
進(jìn)程路徑:E:\\Once\\9\\9.exe
文件路徑:C:\\WINDOWS\\system32\\rundll32.exe
命令行:/s \"C:\\WINDOWS\\winsd82.dll\",SendStatisticDataOnInstall
觸發(fā)規(guī)則:所有程序規(guī)則->阻止運(yùn)行->%windir%\\*
2008-11-17 16:23:40 運(yùn)行應(yīng)用程序
進(jìn)程路徑:E:\\Once\\9\\9.exe
文件路徑:C:\\WINDOWS\\system32\\rundll32.exe
命令行:\"C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\nsv81.tmp\\BackOperHelper.dll\",CloseExistedDllByRundll32 C:\\WINDOWS\\winsd82.dll
觸發(fā)規(guī)則:所有程序規(guī)則->阻止運(yùn)行->%windir%\\* 共2頁(yè): 1 [2] 下一頁(yè) 【內(nèi)容導(dǎo)航】 第 1 頁(yè)：Rootkit.Win32.Agent.eui的行為分析（上） 第 2 頁(yè)：Rootkit.Win32.Agent.eui的行為分析（下）
相關(guān)閱讀