【虐杀MD第8发，填坑系列】XP32位下完美击穿MD

lifan88

@左手 @电脑发烧友

我上个虚拟机中WINDOWS下手杀方法

tg123321

lifan88 发表于 2017-1-21 21:41
不是创建驱动，是允许注册表。。。
这步相关允许啊

这步允许无异于加驱我怕跑出花样把自己电脑搞死了
毕竟实机，这台老电脑还得用
虚拟机被我卸了

电脑发烧友

lifan88 发表于 2017-1-21 21:39
不能吧？这货手杀很好对付的

没有用楼主的方法，按照我的思路用常规ARK手刹，而不是MD。当然PE这种开挂的就另当别论。

lifan88

tg123321 发表于 2017-1-21 21:50
这步允许无异于加驱我怕跑出花样把自己电脑搞死了
毕竟实机，这台老电脑还得用
虚拟机被 ...

就是这步和这步相关的注册表动作允许了直接穿MD

lifan88

tg123321 发表于 2017-1-21 21:50
这步允许无异于加驱我怕跑出花样把自己电脑搞死了
毕竟实机，这台老电脑还得用
虚拟机被 ...

楼下少年手杀失败？？？

tg123321

lifan88 发表于 2017-1-21 21:57
就是这步和这步相关的注册表动作允许了直接穿MD

HARDWARE\DESCRIPTION\System\的东西似乎跟cpu什么有关，病毒应该是利用了xp的设计缺陷，这敢允许么

lifan88

@左手 @电脑发烧友


病毒动作：

2017-1-21 21:48:26    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\md终结者.exe
命令行: "C:\Documents and Settings\Administrator\桌面\MD终结者.exe"
规则: [应用程序]c:\windows\explorer.exe

2017-1-21 21:48:27    读文件    允许
进程: c:\documents and settings\administrator\桌面\md终结者.exe
目标: C:\WINDOWS\system32\ntkrnlpa.exe
规则: [文件]*; ntkrnlpa.exe

2017-1-21 21:48:29    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\md终结者.exe
目标: HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\Configuration Data
值: ff ff ff ff ff ff ff ff 00 00 00 00 02 00 00 00 05 00 00 00 0c 00 00 00 00 00 00 00 00 00 00 00 80 00 fe 03 00 00 3f 00 fe 00 01 00 05 00 00 00 30 00 00 00 00 00 00 00 00 00 00 00 00 00 0c 00 00 80 00 00 00 80 0c 00 00 10 00 00 00 c0 0d 00 00 40 00 00 00 00 0e 00 00 80 00 00 00 00 0f 00 00 00 01 00 50 54 50 00 00 10 00 00
规则: [注册表]HKEY_LOCAL_MACHINE\HARDWARE\*

2017-1-21 21:48:30    修改文件    允许
进程: c:\documents and settings\administrator\桌面\md终结者.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*

2017-1-21 21:48:33    读文件 (3)    允许
进程: c:\documents and settings\administrator\桌面\md终结者.exe
目标: C:\WINDOWS\system32\ntkrnlpa.exe
规则: [文件]*; ntkrnlpa.exe

2017-1-21 21:48:35    修改注册表值    允许
进程: c:\documents and settings\administrator\桌面\md终结者.exe
目标: HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\Configuration Data
值: ff ff ff ff ff ff ff ff 00 00 00 00 02 00 00 00 05 00 00 00 0c 00 00 00 00 00 00 00 00 00 00 00 80 00 fe 03 00 00 3f 00 fe 00 01 00 05 00 00 00 28 00 00 00 00 00 00 00 00 00 00 00 00 00 0c 00 00 80 00 00 00 80 0c 00 00 10 00 00 00 c0 0d 00 00 40 00 00 00 00 0e 00 00 80 00 00 00 00 0f 00 00 00 01 00
规则: [注册表]HKEY_LOCAL_MACHINE\HARDWARE\*

然后MD就。。。。


2017-1-21 21:48:40    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: UDP [本机 : 1025] ->  [210.21.4.130 : 53 (domain)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:48:42    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1031] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:49:28    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1032] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:50:01    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1033] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:50:35    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1034] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:51:12    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1035] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:51:47    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1036] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:52:24    访问网络    允许
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1037] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:53:09    访问网络    阻止
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1038] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-21 21:53:24    访问网络    阻止
进程: c:\windows\system32\svchost.exe
目标: TCP [本机 : 1039] ->  [67.215.238.77 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

症状（MD检查）：








手杀：
第一步：摘去系统回调：

第二步：恢复未知内核钩子：

可以看到病毒的保护废了（从高红变绿）：

第三步：手动暂停SVCHOST被强制创建的线程：

第四步：删除真实驱动

第五步：删除驱动注册表

第六步：结束SVCHOST里的病毒线程

重启，ROOTKIT死了，SVCHOST恢复正常

lifan88

tg123321 发表于 2017-1-21 22:01
HARDWARE\DESCRIPTION\System\的东西似乎跟cpu什么有关，病毒应该是利用了xp的设计缺陷，这敢允许么[:07: ...

你看情况试试吧，挺猛的

tg123321

lifan88 发表于 2017-1-21 22:13
你看情况试试吧，挺猛的

2017-1-21 21:48:30    修改文件    允许
进程: c:\documents and settings\administrator\桌面\md终结者.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件]*
你那边若把这步阻止了，病毒能得逞吗？

lifan88

@左手

电脑发烧友手杀失败了，估计和虚拟机症状不同？