天高云淡

危险等级：★★★
病毒名称：Rootkit.Agent.xd
截获时间：2007-4-20
入库版本：19.19.42
类型：病毒

感染的操作系统：Windows XP, Windows NT, Windows Server 2003, Windows 2000

威胁情况：

传播级别：低

全球化传播态势：低

清除难度：困难

破坏力：低

破坏手段：隐藏其他恶意程序

此程序为rootkit类型程序
1.在驱动初始化时，对设备名和设备符号链接字符串进行解码，并创建设备和相应的符号链接来与用户态程序通信；
2.去除CR0寄存器中的WP位，以防止写只读页出现页异常，然后将内存中的加密字符串解码并写回，此解密字符串将用来与IOCTL传递的参数比较，从而判定是否响应该用户程序的IOCTRL；
3.获取进程的EPROCESS地址，在此结构体中搜索”system”字符串偏移，然后根据此偏移计算进程名在EPROCESS中的偏移，以备比较进程时使用；
4.注册IRP处理例程
支持：创建文件、设置注册表键值、关闭线程和卸载驱动
5.创建系统线程，每隔指定的时间后，尝试写入驱动程序对应的注册表项
6.注册进程创建通知例程，每当创建新进程时，该驱动做如下操作：
1)获取创建进程的EPROCESS，根据计算的偏移获取当前进程名称
2)判定当前创建进程是否为userinit.exe或者是explorer.exe,
假如是则创建系统线程，写入注册表项
\registry\machine\software\microsoft\windows\currentversion\runonce
键值：
%systemroot%\system32\Rundll32.exe %systemroot%\system32\%s.dll,DllUnregisterServer
3)映射ntoskrnl.exe到内存中，获取ntoskrnl.exe的服务表中指定服务函数的地址并保存，利用获取的服务函数地址枚举注册表，试图绕过其他软件的拦截；
4)记录 Winlogon.exe 的启动，但没有做其它操作，可能在以后的版本中会进行相关处理

安全建议：

1 安装正版杀毒软件、个人防火墙和卡卡上网安全助手,并及时升级，瑞星杀毒软件天天至少升级三次。

2 使用“瑞星系统安全漏洞扫描”，打好补丁，弥补系统漏洞。

3 不浏览不良网站，不随意下载安装可疑插件。

4 不接收QQ、MSN、Emial等传来的可疑文件。

5 上网时打开杀毒软件实时监控功能。

6 把网银、网游、QQ等重要软件加入到“瑞星帐号保险柜”中，可以有效保护密码安全。

清除办法：

1 . 瑞星杀毒软件清除办法：

安装瑞星杀毒软件，升级到19.19.42版以上，对电脑进行全盘扫描，按照软件提示进行操作，即可彻底查杀。