多数杀软已跪—化石级牛逼Rootkit

Wesly.Zhang

pal家族 发表于 2017-1-30 20:09
国产最明显拉。
上次跑去avast哪里逛，产品经理和论坛老油条互怼。233333

Hello，

修正我对于系统诊断报告的说法，目前AVZ报告只能通过AVZ工具生成，系统诊断报告导出的是GSI5.0的报告。如果需要生成AVZ报告：http://support.kaspersky.com/common/service.aspx?el=1698

lifan88

pal家族 发表于 2017-1-30 20:11
有人测试TDsskiller清毒是哪个驱动只有skip选项没有disinfect，我想试试，不过这怎么搞啊，小工具又没 ...

估计今晚凌晨给你测试图，你看一下

pal家族

lifan88 发表于 2017-1-31 13:52
估计今晚凌晨给你测试图，你看一下

我大概已经知道了是个咋回事了
卡巴在清除是就那个wdf01000驱动虽然payload没有了但是数字签名也没了，所以tdsskileer在复查时是报 unsigned
由于是系统驱动，又没有可以清除的地方，所以只能skip或copy到隔离区，其实清毒已经在重启前完成了。
目前我想反馈的就是为什么这样的流程下来就这个驱动丢了数字签名，已经系统是否还有其他异常。
至于用KIS清毒，其实效果跟tdsskiller一样的，那个驱动也是丢了数字签名的，不过kis不会见者数字签名丢了就报毒。
如果不是染毒清毒测试，那个驱动清除之后貌似是保留数字签名的。你可以试试单独测试。记得路径不要有中文字符。

shulun743

电脑发烧友 发表于 2017-1-27 13:38
如果你说的完美清除是只染毒后对病毒驱动的清除，那么我这里的测试结果和你大相径庭，如果可以请把你那里 ...

测试 环境 Win7---32 vm虚拟机

测试结果 ： 清除了所有瑞星发现的病毒， 二扫发现病毒结果是 0  ；没有报告驱动病毒，我验证下 驱动问题？

pal家族

shulun743 发表于 2017-2-1 09:29
测试 环境 Win7---32 vm虚拟机

测试结果 ： 清除了所有瑞星发现的病毒， 二扫发现病毒结果是 0  ；没 ...

请问你看了测试方法了吗？成功让样本跑起来了吗？

电脑发烧友

shulun743 发表于 2017-2-1 09:29
测试 环境 Win7---32 vm虚拟机

测试结果 ： 清除了所有瑞星发现的病毒， 二扫发现病毒结果是 0  ；没 ...

其实我想问，你的样本跑起来了？你看测试方法了么？rootKit一个驱动都没杀出来你都没发现？为什么666 233.exe会有这么多？

lifan88

shulun743 发表于 2017-2-1 09:29
测试 环境 Win7---32 vm虚拟机

测试结果 ： 清除了所有瑞星发现的病毒， 二扫发现病毒结果是 0  ；没 ...

既然你会用PCH就不要什么都不知道好吧，到驱动模块里看，一堆系统驱动全是蓝色，内核里面要么一堆红，要么一堆蓝。

还有，怎么让这毒在虚拟机里运行起来的方法写得一清二楚，到底运没运行成功查PCH就知道（如果PCH可以运行的话）

lifan88

shulun743 发表于 2017-2-1 09:29
测试 环境 Win7---32 vm虚拟机

测试结果 ： 清除了所有瑞星发现的病毒， 二扫发现病毒结果是 0  ；没 ...

你确定瑞星能检查出驱动有问题？

aboringman

虚拟机测试，Rootkit成功运行，红伞能够检测但处理方法错误【被感染驱动直接被红伞隔离】，系统挂掉。。。。。。

shulun743

@瑞星工程师     @麦青儿    都看看 ， 瑞星 无法处理！！！