Zen病毒如何实现持久化驻留？

Question

Zen病毒如何通过注册表自启动项和伪装系统服务实现持久化驻留？其常驻机制是否依赖特定权限或系统配置？在不触发安全软件的前提下，它是如何将恶意模块加载至关键进程（如svchost.exe）的？此外，该病毒是否利用DLL劫持或计划任务等隐蔽技术维持长期存活？

Answer 1

Zen病毒持久化驻留机制深度解析

1. 注册表自启动项的利用方式

Zen病毒通过修改Windows注册表中的多个自启动键值实现开机自动运行，其主要目标路径包括：

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services（服务注册）

病毒通常创建伪装名称如"Windows Update Helper"或"NetFilter Driver"，并指向位于%AppData%或%ProgramData%下的恶意可执行文件。

2. 伪装系统服务的实现机制

Zen病毒使用CreateService API动态注册一个伪系统服务，其配置如下表所示：

字段	合法服务示例	Zen病毒伪装值
服务名称	WlanSvc	NetFilterAgent
显示名称	WLAN AutoConfig	Network Filtering Service
二进制路径	C:\Windows\System32\...	%SystemRoot%\SysWOW64\svchostx.exe
启动类型	Automatic	Automatic
服务类型	Share Process	Own Process / Share Process

该服务常设置为与svchost.exe共享宿主进程，增加检测难度。

3. 常驻机制对权限与系统配置的依赖性

Zen病毒的持久化能力高度依赖于以下系统条件：

1. 需要管理员权限以写入HKEY_LOCAL_MACHINE和注册服务
2. 在UAC关闭或用户处于本地管理员组时更易成功
3. 利用Windows服务控制管理器（SCM）的信任链绕过基础行为监控
4. 在域环境中若存在GPO配置漏洞，可实现横向移动式驻留

值得注意的是，即使在标准用户权限下，病毒仍可通过HKCU\Run实现有限持久化。

4. 恶意模块注入关键进程的技术路径

为规避安全软件检测，Zen病毒采用无文件注入技术将DLL加载至svchost.exe等关键进程。典型流程如下：

// 示例：APC注入核心代码片段（简化版）
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwHostPID);
LPVOID pRemoteMem = VirtualAllocEx(hProcess, NULL, sizeof(dllPath), MEM_COMMIT, PAGE_READWRITE);
WriteProcessMemory(hProcess, pRemoteMem, dllPath, sizeof(dllPath), NULL);
HMODULE hKernel32 = GetModuleHandle(L"kernel32.dll");
LPTHREAD_START_ROUTINE pLoadLibrary = (LPTHREAD_START_ROUTINE)GetProcAddress(hKernel32, "LoadLibraryA");
QueueUserAPC((PAPCFUNC)pLoadLibrary, hThread, (ULONG_PTR)pRemoteMem);

此方法不触发CreateRemoteThread告警，且执行上下文属于合法系统进程，有效规避EDR行为分析。

5. DLL劫持与侧加载技术的应用

Zen病毒广泛利用DLL搜索顺序漏洞进行劫持，常见攻击向量包括：

• 替换AppInit_DLLs注册表项加载恶意DLL
• 在C:\Windows\System32部署伪造的winspool.drv
• 利用可信程序（如McAfee、Cisco AnyConnect）缺失签名DLL进行侧加载

通过静态分析发现，其劫持DLL导出表完全仿照原版，仅在初始化函数中添加恶意回调。

6. 计划任务作为隐蔽持久化手段

Zen病毒创建隐藏计划任务以实现定时唤醒与恢复机制：

schtasks /create /tn "\Microsoft\Windows\UpdateOrchestrator\HealthCheck" /tr "malicious_payload.exe" /sc hourly /rl HIGHEST /f

任务命名模仿微软官方任务结构，并设置Hidden=True属性，普通任务计划程序界面无法显示。

7. 多层次持久化策略的协同效应

graph TD A[注册表Run键] --> D[系统重启后激活] B[伪装服务] --> D C[计划任务] --> D D --> E{判断svchost.exe是否运行} E -->|是| F[APC注入恶意DLL] E -->|否| G[启动服务并等待] F --> H[建立C2通信] H --> I[下载后续载荷]

该流程展示了Zen病毒如何组合多种技术形成容错型驻留架构。