锁屏

饭@avast

to kaspersky

shihaono1

诺顿检测到病毒

yjwfdc

深山红叶__ 发表于 2014-8-11 23:17
http://bbs.kafan.cn/thread-1761256-1-1.html
上次的特性除了加密以外全部保留
设置关键进程属性是hx ...

hx用的是RtlSetProcessIsCritical.
还未找到办法处理。

mefanfine

zmzcy 发表于 2014-8-11 23:04
红伞的云居然分析出了

红伞确实也挺牛的

深山红叶__

yjwfdc 发表于 2014-8-12 21:39
hx用的是RtlSetProcessIsCritical.
还未找到办法处理。

差不多一个意思，懒得拼这么多东西

1. 
   
2. Private Declare Function RtlAdjustPrivilege Lib "ntdll.dll" (ByVal Privilege As Long, ByVal Enable As Long, ByVal CurrentThread As Long, Enabled As Long) As Long
   
3. Private Declare Function NtSetInformationProcess Lib "NTDLL.DLL" (ByVal ProcessHandle As Long, ByVal ProcessInformationClass As Long, ByRef ProcessInformation As Any, ByVal lProcessInformationLength As Long) As Long
   
4. Const ProcessBreakOnTermination = 29
   
5. 
   
6. Private Sub Form_Load()
   
7. Call RtlAdjustPrivilege(&H14, 1, 0, 0)'获取14号权限令牌
   
8. Call NtSetInformationProcess (-1, ProcessBreakOnTermination, 1&, 4)'提升进程为关键进程
   
9. End Sub
   
10. 
    
11. Private Sub Form_Unload(Cancel As Integer)
    
12. Call NtSetInformationProcess (-1, ProcessBreakOnTermination, 0&, 4)'降低进程为普通进程
    
13. End Sub
    

复制代码

上次锁屏发了NtSetInformationProcess的解决方法，C系是true,null,false起、false,null,false落，按理来说VB是100和000，不过VB的IDE有问题，所以起是001，降不明（似乎没有）
总之，要搞这东西还是用NtSetInformationProcess。

yjwfdc

深山红叶__ 发表于 2014-8-12 22:43
差不多一个意思，懒得拼这么多东西

RtlSetProcessIsCritical.
厉害些，还未找到办法处理

你这个新版“速度卫士”处理了。http://bbs.kafan.cn/thread-1514499-1-1.html

深山红叶__

yjwfdc 发表于 2014-8-12 22:47
RtlSetProcessIsCritical.
厉害些，还未找到办法处理

NtSetInformationProcess (hPro, ProcessBreakOnTermination, 0&, 4)
就能降下来啊，Rtlset...是对这个函数的一个封装，只对自身。

上次的锁屏也用了Rtlset...，忘记提醒你更新了...

lsgster

VSE只能扫ZIP，RAR就湿了

yjwfdc

深山红叶__ 发表于 2014-8-12 22:49
NtSetInformationProcess (hPro, ProcessBreakOnTermination, 0&, 4)
就能降下来啊，Rtlset...是对这 ...

但实际上可以降你的样本，不能降RtlSetProcessIsCritical.

深山红叶__

yjwfdc 发表于 2014-8-13 00:09
但实际上可以降你的样本，不能降RtlSetProcessIsCritical.

http://bbs.kafan.cn/thread-1757469-1-1.html

RtlSetProcessIsCritical的实质就是NtSetInformationProcess的一个封装，原理就是ProcessBreakOnTermination

所以NtSetInformationProcess这种通用的东西完全可以降。