WIN32.TROJ.ROOTKIT.CN.3784

病毒描述

這是一個核心木馬，它會把自己的進程，在註冊表中的鍵值，創建的檔案，創建的服務隱藏起來，盡最大可能不讓受害者發現木馬，以使木馬長久駐留在受害者計算機中執行外界發來的特定命令。

1.該病毒會把自身複製為%System32%\rtkit.exe並以服務的形式隨計算機啟動而運行.

2.在%System32%\創建資料夾RtKit，該資料夾用來存放該核心木馬得驅動程式npf.sys，記錄檔案rtkit.log，以及動態程式庫globalc.dll。

3.載入木馬釋放的驅動程式npf.sys，HOOK了關鍵的核心API，釋放的動態程式庫globalc.dll作為木馬與驅動程式通信的接口，木馬根據配置檔案ntrootkit.ini來隱藏進程，檔案，註冊表，服務等。

通過註冊表的鍵值

HKEY_LOCAL_MACHINE\SOFTWARE\RtKit\KeyName

"0"="HKLM\SYSTEM\*NPF"

"1"="HKLM\SOFTWARE\RTKIT"

"2"="HKLM\SYSTEM\*RTKIT"

來通知驅動程式隱藏指定的註冊表鍵值，以在註冊表中隱藏自己。

通過註冊表的鍵值

HKEY_LOCAL_MACHINE\SOFTWARE\RtKit\FileDirName

"0"="*SYSTEM32\RTKIT"

來通知驅動程式隱藏指定的檔案或者資料夾，以隱藏自己的檔案。

通過註冊表的鍵值

HKEY_LOCAL_MACHINE\SOFTWARE\RtKit\ServName

"0"="RTKIT"

來通知驅動程式隱藏指定的服務，以隱藏自己的服務。

它還會隱藏自己的進程。

木馬是否載入驅動程式標誌：

HKEY_LOCAL_MACHINE\software\rtkit\IsUseDriver

載入服務：

NPF，該服務用來載入驅動程式。

RtKit，將自己註冊為服務。將自己描述為"Window system rpc service"。

IpFilterDriver，開設後門服務，隱藏TCP/UDP連線埠。

開放遠程訪問註冊表服務（Remote Registry），以遠程操作受害者計算機系統中的註冊表，遠程載入木馬服務。

設定木馬版本信息，為以後升級木馬做準備：

HKEY_LOCAL_MACHINE\software\rtkit

"MajorVersion"=0x1

"MinorVersion"=0x16

配置檔案ntrootkit.ini中：