Vanquish 是一个Ring3级别的rootkit, 用于隐藏文件,目录,注册表等信息,
运行该程序所有Vanquish 字样都将被隐藏,让我们用atool来看看它的原理
服务
在windows管理器中文件被隐藏了,ATool文件管理中发现,因为其未用ring0隐藏导致atool看不到红色,还有一个原因是其dll不能注入到atool当中导致的.
注册表管理器中Vanquish 服务键值被隐藏,atool可以看到,但也没有明显提示
这个地方很明显了 用了ring3的 inline hook. 其中被hook的有文件遍历函数,枚举服务函数,注册表函数操作和进程函数操作函数.
atool中shift+鼠标左键全选,删除hook
还原之后 windows 浏览器就可以看到隐藏的文件了.
[ 本帖最后由 CuteK 于 2008-5-17 21:26 编辑 ] |
|
发表于 2008-5-17 21:17
