Artemis僵尸网络：从注册表篡改看Windows持久化攻击

1. Artemis僵尸网络：隐藏在注册表中的数字威胁

第一次听说Artemis这个名字时，我还以为是什么新型的艺术软件。直到亲眼看到客户的电脑突然蓝屏，任务管理器怎么都打不开，浏览器首页被劫持成奇怪的网址，我才意识到这个"艺术女神"的真面目——一个通过Windows注册表作恶的僵尸网络病毒。这种恶意软件最让人头疼的地方在于，它不像普通病毒那样容易被杀毒软件发现，而是像寄生虫一样深深嵌入系统注册表，每次开机都自动复活。

Artemis属于Nitol僵尸网络家族，最早出现在2012年。它主要针对Windows系统，通过修改关键注册表项实现三个目的：保持持久化运行（每次开机自动启动）、破坏系统安全功能（禁用任务管理器、注册表编辑器等）、以及隐藏自身踪迹（隐藏文件扩展名）。我见过最狡猾的一个变种，会把自己伪装成系统更新服务，连专业IT人员都可能被蒙骗过去。

2. 解剖Artemis的注册表攻击手法

2.1 自启动项：病毒的第一道防线

Artemis最常用的伎俩就是往注册表的自启动项里塞私货。具体来说，它会修改这两个关键路径：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

我处理过的一个案例中，病毒创建了名为"jazz20185"和"5u12y41"的键值，分别指向：

%SystemRoot%\System32\srvrest.exe %WinDir%\dirsys.exe

这两个看起来人畜无害的文件名，实则是病毒的副本。更阴险的是，它们使用系统环境变量（%SystemRoot%和%WinDir%）来隐藏真实路径，增加了排查难度。

2.2 系统功能破坏：让受害者无力反抗

比起简单的自启动，Artemis对系统功能的破坏更令人担忧。它会修改以下注册表项来禁用关键工具：

HKEY_USERS\[用户SID]\Software\Microsoft\Windows\CurrentVersion\Policies\System

添加或修改这些值：

• DisableTaskMgr = 1 （禁用任务管理器）
• DisableRegistryTools = 1 （禁用注册表编辑器）
• DisableCMD = 1 （禁用命令提示符）

这就像小偷不仅入室盗窃，还把主人的手机、电话和门窗都锁死了。去年我协助处理的一起企业感染事件中，员工发现电脑异常后想用任务管理器查杀进程，却怎么也打不开——这正是Artemis的"杰作"。

2.3 隐藏踪迹：高级隐匿技巧

Artemis还会通过修改注册表隐藏自己的蛛丝马迹：

HKEY_USERS\[用户SID]\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

设置"HideFileExt"=1来隐藏已知文件扩展名。这样一来，病毒文件"virus.exe"在资源管理器中就只显示为"virus"，让缺乏经验的用户更难识别恶意程序。

3. 实战检测与清除指南

3.1 手动排查注册表异常

对于技术人员，可以按以下步骤检查注册表：

1. 使用管理员权限运行regedit
2. 重点检查以下路径：
   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • HKU[用户SID]\Software\Microsoft\Windows\CurrentVersion\Policies\System
3. 查找可疑的键值名称（如随机字符串）或指向不常见exe文件的路径

注意：操作注册表前建议先备份，错误修改可能导致系统不稳定。

3.2 使用专业工具辅助检测

对于普通用户，我推荐这些免费工具：

• Autoruns：微软Sysinternals套件中的工具，可以查看所有自启动项
• Process Explorer：比任务管理器更强大的进程查看工具
• HitmanPro：轻量级扫描工具，能检测顽固恶意软件

最近处理的一个案例中，Autoruns发现了一个伪装成"Adobe Updater"的自启动项，实际指向的却是病毒文件。

3.3 彻底清除Artemis的步骤

1. 进入安全模式（防止病毒进程干扰）
2. 使用注册表编辑器删除恶意自启动项
3. 定位并删除病毒本体文件（通常在System32或Windows目录下）
4. 恢复被修改的系统功能注册表项
5. 全盘扫描确保无残留

重要提示：某些变种会监控注册表操作，直接删除可能导致病毒采取更激进的破坏行为。建议先断网再操作。

4. 防御策略：比Artemis快一步

4.1 注册表加固措施

可以通过组策略限制对关键注册表项的修改：

1. 运行gpedit.msc
2. 导航到：计算机配置→Windows设置→安全设置→注册表
3. 为以下路径添加访问控制：
   • \Registry\Machine\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • \Registry\User[用户SID]\Software\Microsoft\Windows\CurrentVersion\Policies\System

我在企业环境中部署这项设置后，成功阻止了多起类似Artemis的注册表攻击。

4.2 用户教育与习惯培养

技术手段之外，用户习惯同样重要：

• 警惕来历不明的邮件附件和下载链接
• 定期更新操作系统和杀毒软件
• 注意文件扩展名（显示扩展名有助于识别伪装文件）
• 定期备份重要数据

曾有位客户因为点击了"发票.pdf.exe"而中招，如果系统显示完整扩展名，这种低级骗局很容易识破。

4.3 企业级防护方案

对于企业环境，建议部署：

• EDR（端点检测与响应）系统，实时监控注册表变更
• 应用程序白名单，只允许授权程序运行
• 网络流量分析，检测与C&C服务器的通信

某金融客户在部署EDR后，成功在Artemis尝试连接C&C服务器时拦截了攻击。