多数杀软已跪—化石级牛逼Rootkit

显示全部楼层 · 发表于 2017-1-24 17:03:54

lifan88 发表于 2017-1-24 16:50
在虚拟机外用DiskGenius你觉得呢？

应该行吧

显示全部楼层 · 发表于 2017-1-24 17:28:49

趋势没有识别威胁，我放弃了，系统已恢复快照

显示全部楼层 · 发表于 2017-1-24 17:51:31

68221281 发表于 2017-1-24 16:34
怎么没人测NPE这货啊？好想知道。。。

我正在准备诺顿的测试

显示全部楼层 · 发表于 2017-1-24 17:54:07

本帖最后由 windows7爱好者于 2017-1-24 17:55 编辑

驭龙发表于 2017-1-24 17:28
趋势没有识别威胁，我放弃了，系统已恢复快照

龙大，我准备先感染，然后在装NS，这样可以不

另外咖啡你觉得是否有戏呢

显示全部楼层 · 发表于 2017-1-24 18:01:14

本帖最后由 BE_HC 于 2017-1-24 19:29 编辑

NPE扫描后发现一驱动，删除后电脑蓝屏，成功boom

第二次NPE尝试，NPE成功修复，并附上报告
@电脑发烧友
吃完饭回来补图

显示全部楼层 · 发表于 2017-1-24 18:05:18

本帖最后由电脑发烧友于 2017-1-24 18:06 编辑

BE_HC 发表于 2017-1-24 18:01
NPE扫描后发现一驱动，删除后电脑蓝屏，成功boom

染毒后扫描的？重启后二扫怎么样？

显示全部楼层 · 发表于 2017-1-24 18:09:50

本帖最后由 BE_HC 于 2017-1-24 18:36 编辑

电脑发烧友发表于 2017-1-24 18:05
染毒后扫描的？重启后二扫怎么样？

虚拟机嵌入[mw_shl_code=css,true]isolation.tools.getPtrLocation.disable = "TRUE"
isolation.tools.setPtrLocation.disable = "TRUE"
isolation.tools.setVersion.disable = "TRUE"
isolation.tools.getVersion.disable = "TRUE"
monitor_control.disable_directexec = "TRUE"
monitor_control.disable_chksimd = "TRUE"
monitor_control.disable_ntreloc = "TRUE"
monitor_control.disable_selfmod = "TRUE"
monitor_control.disable_reloc = "TRUE"
monitor_control.disable_btinout = "TRUE"
monitor_control.disable_btmemspace = "TRUE"
monitor_control.disable_btpriv = "TRUE"
monitor_control.disable_btseg = "TRUE"[/mw_shl_code]
步骤：
先双击后看病毒文件没了，然后重启，打开PCHunter测试是否加载失败（成功则快照重复），然后打开NPE
NPE扫描rookit还需重启，然后继续扫描，然后电脑boom
第二次吼了耶

显示全部楼层 · 发表于 2017-1-24 18:11:05

彩虹丶// 发表于 2017-1-24 12:16
扫描无意义。

好的，没看标题，待会儿虚拟机里测下BD free

显示全部楼层 · 发表于 2017-1-24 18:43:08

本帖最后由电脑发烧友于 2017-1-24 18:48 编辑

BE_HC 发表于 2017-1-24 18:01
NPE扫描后发现一驱动，删除后电脑蓝屏，成功boom

第二次NPE尝试，NPE成功修复，并附上报告

PCH能正常运行么？先把这个结果贴到95L

显示全部楼层 · 发表于 2017-1-24 19:05:24

666-233.exe - Rootkit.Win32.Avatar.h

[病毒样本] 多数杀软已跪—化石级牛逼Rootkit

本帖子中包含更多资源

评分