精睿包中发现一枚ZeroAccess【MA ESET 黑寡妇 迈克菲 卡巴，双击大战ZeroAccess变种】

wjy19800315

驭龙 发表于 2015-7-11 12:59
哇，那我应该管你叫W哥，哈哈，其实什么事情看开就好，没必要太认真的

呵呵
空度几十春秋啊

驭龙

wjy19800315 发表于 2015-7-11 13:15
呵呵
空度几十春秋啊

其实我也这样，有时候太认真，所以当初也得罪不少人，现在有时候也时常犯病，所以不要在意这些细节，来卡饭玩，开心就好，其他都是浮云

bbszy

刚刚在win7 x86虚拟机里试了一下。

装的是趋势。

更新到最新，通过托盘的趋势图标右键关闭了监控，运行样本。

样本成功运行，运行期间无防火墙提示。部分系统驱动被锁。趋势的文件、进程、驱动正常。

恢复监控，无提示。快速扫描，能发现rootkit（报DCT_RTKT_XXX）和一个驱动（文件名是字母和数字的随机组合，测试期间文件名没有变化），rootkit显示removed，感染驱动显示detected。重启、快速扫描，重复三次，结果一样，但每次发现的rootkit的报法中XXX不一样。rootkit依然显示removed，感染驱动依然显示detected。用PCHunter能检测到ZA的存在。

驭龙

bbszy 发表于 2015-7-11 15:10
刚刚在win7 x86虚拟机里试了一下。

装的是趋势。

我也准备试一下TrendMicro的，不过你测了，我就不测了，这个ZA是随机感染系统驱动的，某个内存模块才是核心。

现在好像只有DrWeb能够对抗成功，而且是没有文件监控的前提下，这个不简单啊。

现在不知道卡巴会是什么结果了，TrendMicro Symantec Microsoft ESET DrWeb的情况都知道了，还有哪个没有测？

bbszy

驭龙 发表于 2015-7-11 15:28
我也准备试一下TrendMicro的，不过你测了，我就不测了，这个ZA是随机感染系统驱动的，某个内存模块才是核 ...

那个趋势的处理为detected的驱动，应该是ZA的驱动，是一个字母和数字的随机文件名。测试期间文件名没有变化。

其他有小锁的驱动都没有报。

主流的就剩卡巴了吧。。

EnZhSTReLniKoVa

驭龙 发表于 2015-7-11 15:28
我也准备试一下TrendMicro的，不过你测了，我就不测了，这个ZA是随机感染系统驱动的，某个内存模块才是核 ...

BD 好像没有测试。。 也就AVC拦截了一下。。

驭龙

bbszy 发表于 2015-7-11 15:34
那个趋势的处理为detected的驱动，应该是ZA的驱动，是一个字母和数字的随机文件名。测试期间文件名没有 ...

那个应该不是本体，看黑寡妇的情况，是附在一个系统驱动中，当然感染的是驱动是随机的，只有把这个干掉，重启以后就不会出现随机生成的驱动，ZA本体就被灭了

驭龙

君陌潇 发表于 2015-7-11 15:34
BD 好像没有测试。。 也就AVC拦截了一下。。

BitDefender不好测，虚拟机中虽然能启用硬件虚拟化的AVC，但不保证能没有影响，实机谁敢测ZA啊，所以BitDefender不好测。

bbszy

驭龙 发表于 2015-7-11 15:39
那个应该不是本体，看黑寡妇的情况，是附在一个系统驱动中，当然感染的是驱动是随机的，只有把这个干掉， ...

那可能趋势没有检测到。

每次只检测到了这个随机文件名的驱动，和报DCT_RTKT_XXX

驭龙

bbszy 发表于 2015-7-11 15:43
那可能趋势没有检测到。

每次只检测到了这个随机文件名的驱动，和报DCT_RTKT_XXX

不知道个人版的咖啡会是什么情况，三大就它没有测，而且它也有Rootkits监控，很好奇，可惜个人版安装太恐怖，只能以后有机会再说了，目测McAfee个人版应该有可能解决ZA，当然只是猜测