記錄今天分析的一個隱藏自身及注冊表項的病毒。

1.概述：

（1）此病毒文件為路徑為：C:\Windows7\4D525EC1C14.exe，且注冊了自啟動項：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run? [UU5DUD3ZUFYW3W5YYPBNVTTD]? ?C:\Windows7\4D525EC1C14.exe/q。

（2）在資源管理器里看不到windows7這個文件夾。在regedit.exe中HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run項中也找不到?[UU5DUD3ZUFYW3W5YYPBNVTTD] 這個鍵。

（3）在xuetr里能看上上述文件夾及注冊表鍵。

2.分析：

（1）用xuetr查看explorer.exe的進程鉤子如下圖：

可以看到NtEnumerateValueKey和NtQueryDirectoryFile兩個函數被鉤了，基本可以確定這就是看不到病毒文件及注冊表項的原因。

（2）試圖用xuetr恢復鉤子失敗，說明有進程在守護，很有可能是4D525EC1C14.exe。但是在進程及線程中找不到4D525EC1C14.exe。于是用xuetr刪除病毒的自啟動項，再重啟系統發現windows7文件夾和注冊表項都可以看見。于是可以確定病毒的運行模式是4D525EC1C14.exe開機啟動，然后修改explorer.exe的內存并隱藏自身。

總結

以上是生活随笔為你收集整理的通过修改explorer.exe内存隐藏文件及注册表项的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。