w0mbat
Full Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:CreateProcessA (99) перехвачена, метод APICodeHijack.JmpTo[1005D5D6]
>>> Код руткита в функции CreateProcessA нейтрализован
Функция kernel32.dll:CreateProcessW (103) перехвачена, метод APICodeHijack.JmpTo[1005D5AE]
>>> Код руткита в функции CreateProcessW нейтрализован
Функция kernel32.dll:CreateRemoteThread (104) перехвачена, метод APICodeHijack.JmpTo[1005D922]
>>> Код руткита в функции CreateRemoteThread нейтрализован
Функция kernel32.dll:DebugActiveProcess (117) перехвачена, метод APICodeHijack.JmpTo[1005D8FA]
>>> Код руткита в функции DebugActiveProcess нейтрализован
Функция kernel32.dll:LoadLibraryExA (580) перехвачена, метод APICodeHijack.JmpTo[1005D4BE]
>>> Код руткита в функции LoadLibraryExA нейтрализован
Функция kernel32.dll:LoadLibraryExW (581) перехвачена, метод APICodeHijack.JmpTo[1005D496]
>>> Код руткита в функции LoadLibraryExW нейтрализован
Функция kernel32.dll:WinExec (897) перехвачена, метод APICodeHijack.JmpTo[1005D586]
>>> Код руткита в функции WinExec нейтрализован
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:LdrLoadDll (70) перехвачена, метод APICodeHijack.JmpTo[1005D8D2]
>>> Код руткита в функции LdrLoadDll нейтрализован
Функция ntdll.dll:LdrUnloadDll (80) перехвачена, метод APICodeHijack.JmpTo[1005D8AA]
>>> Код руткита в функции LdrUnloadDll нейтрализован
Функция ntdll.dll:NtConnectPort (117) перехвачена, метод APICodeHijack.JmpTo[1005D626]
>>> Код руткита в функции NtConnectPort нейтрализован
Функция ntdll.dll:NtCreateThread (140) перехвачена, метод APICodeHijack.JmpTo[1005D6C6]
>>> Код руткита в функции NtCreateThread нейтрализован
Функция ntdll.dll:NtProtectVirtualMemory (226) перехвачена, метод APICodeHijack.JmpTo[1005D716]
>>> Код руткита в функции NtProtectVirtualMemory нейтрализован
Функция ntdll.dll:NtSecureConnectPort (301) перехвачена, метод APICodeHijack.JmpTo[1005D5FE]
>>> Код руткита в функции NtSecureConnectPort нейтрализован
Функция ntdll.dll:NtSetContextThread (304) перехвачена, метод APICodeHijack.JmpTo[1005D6EE]
>>> Код руткита в функции NtSetContextThread нейтрализован
Функция ntdll.dll:NtSetValueKey (338) перехвачена, метод APICodeHijack.JmpTo[1005D882]
>>> Код руткита в функции NtSetValueKey нейтрализован
Функция ntdll.dll:NtSuspendProcess (344) перехвачена, метод APICodeHijack.JmpTo[1005D7DE]
>>> Код руткита в функции NtSuspendProcess нейтрализован
Функция ntdll.dll:NtSuspendThread (345) перехвачена, метод APICodeHijack.JmpTo[1005D7B6]
>>> Код руткита в функции NtSuspendThread нейтрализован
Функция ntdll.dll:NtTerminateProcess (348) перехвачена, метод APICodeHijack.JmpTo[1005D82E]
>>> Код руткита в функции NtTerminateProcess нейтрализован
Функция ntdll.dll:NtWriteVirtualMemory (369) перехвачена, метод APICodeHijack.JmpTo[1005D85A]
>>> Код руткита в функции NtWriteVirtualMemory нейтрализован
Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:CallNextHookEx (27) перехвачена, метод APICodeHijack.JmpTo[1005DCE2]
>>> Код руткита в функции CallNextHookEx нейтрализован
Функция user32.dll:ChangeDisplaySettingsExA (34) перехвачена, метод APICodeHijack.JmpTo[1005D446]
>>> Код руткита в функции ChangeDisplaySettingsExA нейтрализован
Функция user32.dll:ChangeDisplaySettingsExW (35) перехвачена, метод APICodeHijack.JmpTo[1005D41E]
>>> Код руткита в функции ChangeDisplaySettingsExW нейтрализован
Функция user32.dll:DdeConnect (108) перехвачена, метод APICodeHijack.JmpTo[1005DCBA]
>>> Код руткита в функции DdeConnect нейтрализован
Функция user32.dll:DdeConnectList (109) перехвачена, метод APICodeHijack.JmpTo[1005DC92]
>>> Код руткита в функции DdeConnectList нейтрализован
Функция user32.dll:DdeInitializeA (122) перехвачена, метод APICodeHijack.JmpTo[1005DC6A]
>>> Код руткита в функции DdeInitializeA нейтрализован
Функция user32.dll:DdeInitializeW (123) перехвачена, метод APICodeHijack.JmpTo[1005DC42]
>>> Код руткита в функции DdeInitializeW нейтрализован
Функция user32.dll:EndTask (202) перехвачена, метод APICodeHijack.JmpTo[1005D972]
>>> Код руткита в функции EndTask нейтрализован
Функция user32.dll:ExitWindowsEx (226) перехвачена, метод APICodeHijack.JmpTo[1005DA12]
>>> Код руткита в функции ExitWindowsEx нейтрализован
Функция user32.dll:FindWindowExA (229) перехвачена, метод APICodeHijack.JmpTo[1005DA8A]
>>> Код руткита в функции FindWindowExA нейтрализован
Функция user32.dll:FindWindowExW (230) перехвачена, метод APICodeHijack.JmpTo[1005DA62]
>>> Код руткита в функции FindWindowExW нейтрализован
Функция user32.dll:PostMessageA (512) перехвачена, метод APICodeHijack.JmpTo[1005DB7A]
>>> Код руткита в функции PostMessageA нейтрализован
Функция user32.dll:PostMessageW (513) перехвачена, метод APICodeHijack.JmpTo[1005DB52]
>>> Код руткита в функции PostMessageW нейтрализован
Функция user32.dll:SendInput (571) перехвачена, метод APICodeHijack.JmpTo[1005DA3A]
>>> Код руткита в функции SendInput нейтрализован
Функция user32.dll:SendMessageA (572) перехвачена, метод APICodeHijack.JmpTo[1005DC1A]
>>> Код руткита в функции SendMessageA нейтрализован
Функция user32.dll:SendMessageCallbackA (573) перехвачена, метод APICodeHijack.JmpTo[1005DADA]
>>> Код руткита в функции SendMessageCallbackA нейтрализован
Функция user32.dll:SendMessageCallbackW (574) перехвачена, метод APICodeHijack.JmpTo[1005DAB2]
>>> Код руткита в функции SendMessageCallbackW нейтрализован
Функция user32.dll:SendMessageTimeoutA (575) перехвачена, метод APICodeHijack.JmpTo[1005DB2A]
>>> Код руткита в функции SendMessageTimeoutA нейтрализован
Функция user32.dll:SendMessageTimeoutW (576) перехвачена, метод APICodeHijack.JmpTo[1005DB02]
>>> Код руткита в функции SendMessageTimeoutW нейтрализован
Функция user32.dll:SendMessageW (577) перехвачена, метод APICodeHijack.JmpTo[1005DBF2]
>>> Код руткита в функции SendMessageW нейтрализован
Функция user32.dll:SendNotifyMessageA (578) перехвачена, метод APICodeHijack.JmpTo[1005DBCA]
>>> Код руткита в функции SendNotifyMessageA нейтрализован
Функция user32.dll:SendNotifyMessageW (579) перехвачена, метод APICodeHijack.JmpTo[1005DBA2]
>>> Код руткита в функции SendNotifyMessageW нейтрализован
Функция user32.dll:SetForegroundWindow (600) перехвачена, метод APICodeHijack.JmpTo[1005D9EA]
>>> Код руткита в функции SetForegroundWindow нейтрализован
Функция user32.dll:SetWinEventHook (639) перехвачена, метод APICodeHijack.JmpTo[1005D94A]
>>> Код руткита в функции SetWinEventHook нейтрализован
Функция user32.dll:SetWindowPos (644) перехвачена, метод APICodeHijack.JmpTo[1005D99A]
>>> Код руткита в функции SetWindowPos нейтрализован
Функция user32.dll:SetWindowsHookExA (651) перехвачена, метод APICodeHijack.JmpTo[1005DD32]
>>> Код руткита в функции SetWindowsHookExA нейтрализован
Функция user32.dll:SetWindowsHookExW (652) перехвачена, метод APICodeHijack.JmpTo[1005DD0A]
>>> Код руткита в функции SetWindowsHookExW нейтрализован
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=07B580)
Ядро ntkrnlpa.exe обнаружено в памяти по адресу 80800000
SDT = 8087B580
KiST = 8082A354 (284)
Функция NtCreateKey (29) перехвачена (8094222E->BA6BE0D0), перехватчик C:\WIND0WS\system32\Drivers\sptd.sys
Функция NtCreateThread (35) перехвачена (808EF11A->BAFF864C), перехватчик не определен
Функция NtEnumerateKey (47) перехвачена (80942A6E->BA6C3FB2), перехватчик C:\WIND0WS\system32\Drivers\sptd.sys
Функция NtEnumerateValueKey (49) перехвачена (80942CD8->BA6C4340), перехватчик C:\WIND0WS\system32\Drivers\sptd.sys
Функция NtOpenKey (77) перехвачена (809435C4->BA6BE0B0), перехватчик C:\WIND0WS\system32\Drivers\sptd.sys
Функция NtOpenProcess (7A) перехвачена (808E91C2->BAFF8638), перехватчик не определен
Функция NtOpenThread (80) перехвачена (808E944E->BAFF863D), перехватчик не определен
Функция NtQueryKey (A0) перехвачена (809438E8->BA6C4418), перехватчик C:\WIND0WS\system32\Drivers\sptd.sys
Функция NtQueryValueKey (B1) перехвачена (809402E8->BA6C4298), перехватчик C:\WIND0WS\system32\Drivers\sptd.sys
Функция NtSetValueKey (F7) перехвачена (809408EE->BA6C44AA), перехватчик C:\WIND0WS\system32\Drivers\sptd.sys
Функция NtTerminateProcess (101) перехвачена (808F0B10->BAFF8647), перехватчик не определен
Функция NtWriteVirtualMemory (115) перехвачена (808D18C2->BAFF8642), перехватчик не определен
Проверено функций: 284, перехвачено: 12, восстановлено: 0
|
Всего записей: 485 | Зарегистр. 22-05-2006 | Отправлено: 19:01 10-10-2007 | Исправлено: w0mbat, 19:02 10-10-2007 |
|
