sd被穿了+免杀eset

显示全部楼层 · 发表于 2013-7-8 14:44:54

darkwolf_99 发表于 2013-7-8 08:28
前几天发现了

deepfreeze　7.61　也没幸免，已经上报

no你错了
穿透性样本其实是这个文件
InstDrv.exe

显示全部楼层 · 发表于 2013-7-8 15:53:17

本帖最后由 darkwolf_99 于 2013-7-8 16:06 编辑

kxmp 发表于 2013-7-8 14:44
no你错了
穿透性样本其实是这个文件
InstDrv.exe

我试过几遍，是那个行为

它的几个驱动加不加载都无所谓，一样穿

因为阻止Win7Elevate.exe那个行为，后面都允许也不会穿

我测试的系统是win7sp1 x64

显示全部楼层 · 发表于 2013-7-8 19:23:24

本帖最后由 kxmp 于 2013-7-9 22:32 编辑

darkwolf_99 发表于 2013-7-8 15:53
我试过几遍，是那个行为

它的几个驱动加不加载都无所谓，一样穿

那是因为instdrv是win7那个生成的
你自己去试试吧

显示全部楼层 · 发表于 2013-7-8 20:19:25

kxmp 发表于 2013-7-8 19:23
那是因为instdrv是win7那个生成的
你自己去试试吧

没必要了，一前一后的区别而已

拦截Win7Elevate.exe注入taskhost.exe，就ok了

显示全部楼层 · 发表于 2013-7-8 20:44:51

darkwolf_99 发表于 2013-7-8 20:19
没必要了，一前一后的区别而已

拦截Win7Elevate.exe注入taskhost.exe，就ok了

没必要?
你那是win7那个注入
和这个能一样么?
eset hips好像都被秒了
反正我不想测了..一测就被穿了....

显示全部楼层 · 发表于 2013-7-8 20:56:19

本帖最后由 darkwolf_99 于 2013-7-8 21:01 编辑

kxmp 发表于 2013-7-8 20:44
没必要?
你那是win7那个注入
和这个能一样么?

前面已经说了，SSF拦了这步，后面的所有行为都允许，也没有被穿

要说毛豆没拦到，我倒是会震惊一下，ESET的就算了

显示全部楼层 · 发表于 2013-7-8 21:41:41

过来酱油
UAC 白名单利用那个，ESET 无压力
捕获3.png

显示全部楼层 · 发表于 2013-7-8 21:46:29

darkwolf_99 发表于 2013-7-8 20:56
前面已经说了，SSF拦了这步，后面的所有行为都允许，也没有被穿

要说毛豆没拦到，我倒是会震惊一下， ...

不对不对
你怎么死不相信
要拦截Rdrv64.sys才对

显示全部楼层 · 发表于 2013-7-8 21:50:24

本帖最后由 darkwolf_99 于 2013-7-8 21:53 编辑

kxmp 发表于 2013-7-8 21:46
不对不对
你怎么死不相信
要拦截Rdrv64.sys才对

前几天已经测过几遍了

你可以试试那个新beta版　

17L，你也看到了，ESET也拦了和SSF类似的那步

显示全部楼层 · 发表于 2013-7-8 21:54:13

hx1997 发表于 2013-7-8 21:41
过来酱油
UAC 白名单利用那个，ESET 无压力

都给你们说了要等到instdrv被生成
然后释放Rdrv64.sys在加载它
要把这个拦截了才行
....

[分享] sd被穿了+免杀eset