11.11-11.17流行病毒排行榜NO.3：Win32.TrojDownloader.HmirT.a.25920

铁军

Win32.TrojDownloader.HmirT.a.25920病毒是个rootkit，毒霸07和08中已经集成bootclean杀毒技术（顽固病毒清除技术）应该是可以较容易的清除的。

4 C4 V9 ]2 v: _! I以下是这个病毒的详细技术分析：
! G# z0 ?) K3 ^3 ~9 \+ b1. 这是一个rootkit,该病毒创建设备名为\Device\KabCleanner的设备,名为\DosDevices\KabCleanner的符号链接

: a$ W4 `+ b" }; r$ Y1 i2. rootkit动态搜索ntoskrnl.exe文件,根据导出表和重定位表信息,以得到KeServiceDescriptorTable所指向的SSDT表中
   ZwOpenKey,ZwClose,ZwSetValueKey,ZwEnumerateKey,ZwCreateFile的真实地址,以此来逃过安全监视工具的截获.
8 _* p2 K7 K0 X) f
3 .另外rootkit新建\registry\machine\system\currentcontrolset\services\saiujrh38l键
) g  Q% G1 Y: p5 X "Type"=1
" ErrorControl"=1
8 X) ^: p7 C; p$ Z- X "DisplayName"="saiujrh38l"
"Group"="System Bus Extender"
0 c, T' P; s# R. j) R "Start"=dword:00000000
4 `+ f" L8 ]  h "imagepath" = "System32\DRIVERS\saiujrh38l.sys"
, l8 U0 Z7 Q5 \9 Y; k
& I% Z% J- C/ `' U0 q& H6 {( P4 . 监视userinit.exe和explorer.exe进程的创建,若userinit.exe进程创建,则修改注册表的
( ?* Q) i$ M: s3 y3 }% n     \registry\machine\software\microsoft\windows\currentversion\runonce键
    设置键值为 %systemroot%\system32\Rundll32.exe %systemroot%\system32\55Id.dll,DllUnregisterServer .
( B$ z1 s1 `1 j    若为explorer.exe进程创建则创建新线程来完成%SystemRoot%\system32\drivers\saiujrh38l.sys和%systemRoot%\system32\55gld.dll的创建。如果使用毒霸检测到该病毒，并重启后仍未完成修复，可以尝试使用金山清理专家的文件粉碎器，将%SystemRoot%\system32\drivers\saiujrh38l.sys和%systemRoot%\system32\55gld.dll两个文件添加到彻底删除的列表，删除后立即重启计算机。
) w9 L! A; Q, F9 u' N( P
缺省情况下%SystemRoot%\system32目录指c:\windows\system32目录，请根据自己windows安装路径灵活修改。
2 j. P2 b+ ?  a" Y$ P! e" `& U0 t
如果以上方法处理无效的，请回复本贴，我们尝试用更多的方法彻底解决这个病毒。