锁屏

显示全部楼层 · 发表于 2014-8-13 00:59:59

yjwfdc 发表于 2014-8-13 00:09
但实际上可以降你的样本，不能降RtlSetProcessIsCritical.

In a word:
Call RtlSetProcessIsCritical(0,0,1)=Call NtSetInformationProcess (-1, ProcessBreakOnTermination, 1&, 4)
But:
RtlSetProcessIsCritical只对本进程有效，而NtSetInformationProcess的第一个参数为目标进程句柄(hPro)，hPro=-1时为自身

显示全部楼层 · 发表于 2014-8-13 01:34:03

特殊原因，必要三连，但扣分也无异议。
理论之后需要实例罢
以下两个程序中一个是RtlSetProcessIsCritical，另一个是NtSetInformationProcess（可用OD查看函数以验证是否真实可信）

打开Anti_Locker，无论是哪个程序，都可用Ctrl+F8结束且不蓝屏/重启
Anti_Locker用的是NtSetInformationProcess（也可用OD验证）

显示全部楼层 · 发表于 2014-8-13 06:07:42

yjwfdc 发表于 2014-8-13 00:09
但实际上可以降你的样本，不能降RtlSetProcessIsCritical.

vse拦截下载

显示全部楼层 · 发表于 2014-8-13 09:19:46

本帖最后由 yjwfdc 于 2014-8-13 09:27 编辑

深山红叶__ 发表于 2014-8-13 01:34
特殊原因，必要三连，但扣分也无异议。
理论之后需要实例罢
以下两个程序中一个是RtlSetProcessIsCritica ...

是我错了，不知道Process_BreakOn_Termination的结构是怎样的，用了其它结构代替，对你发的样本有效，就以为可以正常使用了。

请教一下，ProcessBreakOnTermination结构是怎样的呢？

显示全部楼层 · 发表于 2014-8-13 11:00:33

锁屏.exe - Trojan.Win32.BlockInput.g

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Best Regards, Kaspersky Lab

显示全部楼层 · 发表于 2014-8-13 18:34:32

深山红叶__ 发表于 2014-8-11 23:17
http://bbs.kafan.cn/thread-1761256-1-1.html
上次的特性除了加密以外全部保留
设置关键进程属性是hx ...

comodo+楼主造福人类的antilocker完美防御此类锁屏

显示全部楼层 · 发表于 2014-8-13 19:41:05

POC.BSOD.LockScreen

显示全部楼层 · 发表于 2014-8-13 19:45:47

yjwfdc 发表于 2014-8-13 09:19
是我错了，不知道Process_BreakOn_Termination的结构是怎样的，用了其它结构代替，对你发的样本有效， ...

结构这东西我一向是完全不懂，我这种粗略涉猎的弱渣在写API的时候碰上结构就直接把类型改成any或者long
查到ProcessInformationClass
Private Enum ProcessInformationClass
ProcessBasicInformation
ProcessQuotaLimits
ProcessIoCounters
ProcessVmCounters
ProcessTimes
ProcessBasePriority
ProcessRaisePriority
ProcessDebugPort
ProcessExceptionPort
ProcessAccessToken
ProcessLdtInformation
ProcessLdtSize
ProcessDefaultHardErrorMode
ProcessIoPortHandlers
ProcessPooledUsageAndLimits
ProcessWorkingSetWatch
ProcessUserModeIOPL
ProcessEnableAlignmentFaultFixup
ProcessPriorityClass
ProcessWx86Information
ProcessHandleCount
ProcessAffinityMask
ProcessPriorityBoost
ProcessDeviceMap
ProcessSessionInformation
ProcessForegroundInformation
ProcessWow64Information
ProcessImageFileName
ProcessLUIDDeviceMapsEnabled
ProcessBreakOnTermination
ProcessDebugObjectHandle
ProcessDebugFlags
ProcessHandleTracing
ProcessIoPriority
ProcessExecuteFlags
ProcessResourceManagement
ProcessCookie
ProcessImageInformation
MaxProcessInfoClass
End Enum

显示全部楼层 · 发表于 2014-8-13 23:44:52

深山红叶__ 发表于 2014-8-13 19:45
结构这东西我一向是完全不懂，我这种粗略涉猎的弱渣在写API的时候碰上结构就直接把类型改成any或者long
...

这只是一推结构的名称，不是结构的组成。

显示全部楼层 · 发表于 2014-8-13 23:50:15

yjwfdc 发表于 2014-8-13 23:44
这只是一推结构的名称，不是结构的组成。

结构不懂，只会代进去用，这些是ProcessInformationClass类型。

[病毒样本] 锁屏

本帖子中包含更多资源