【成为过去的BOOTKIT，扫描无意义】2015年--ROVNIX的终结，暴力击杀了TDSSKILLER

BE_HC

lifan88 发表于 2018-1-15 12:43
我还有后面变种，虚拟机一个都运行不起来，你的报告对应的不是这个样本，应该是我这个的后续变种（5-6月 ...

虚拟机好像可以加这种代码来反检测，我是想着病毒种类相似，行为应该差不多的

1. isolation.tools.getPtrLocation.disable = "TRUE"
   
2. isolation.tools.setPtrLocation.disable = "TRUE"
   
3. isolation.tools.setVersion.disable = "TRUE"
   
4. isolation.tools.getVersion.disable = "TRUE"
   
5. monitor_control.disable_directexec = "TRUE"
   
6. monitor_control.disable_chksimd = "TRUE"
   
7. monitor_control.disable_ntreloc = "TRUE"
   
8. monitor_control.disable_selfmod = "TRUE"
   
9. monitor_control.disable_reloc = "TRUE"
   
10. monitor_control.disable_btinout = "TRUE"
    
11. monitor_control.disable_btmemspace = "TRUE"
    
12. monitor_control.disable_btpriv = "TRUE"
    
13. monitor_control.disable_btseg = "TRUE"

复制代码

Jerry.Lin

关闭防护 感染后开启

AVG  只杀本体……快扫安全（重启前重启后）……这是逼我换杀软那……

现在开机扫描试下

开机扫描初始化失败……

断网仅开IDP

AVG拦截


无法得知驱动是否回滚干净……

lifan88

BE_HC 发表于 2018-1-15 12:51
虚拟机好像可以加这种代码来反检测，我是想着病毒种类相似，行为应该差不多的

我学习一个。。我去试试

lifan88

191196846 发表于 2018-1-15 12:58
关闭防护 感染后开启

AVG  只杀本体……快扫安全（重启前重启后）……这是逼我换杀软那……

初始化失败100%是被BLOCK模块了吧

玩的开心就行啦，不用换，中这类东西基本不能用杀软处理，用工具更加现实一些

lifan88

BE_HC 发表于 2018-1-15 12:51
虚拟机好像可以加这种代码来反检测，我是想着病毒种类相似，行为应该差不多的

额，在哪改来着？原帖子没了好像，.VMX里面没有啊？

cocomail

lifan88 发表于 2018-1-15 15:00
额，在哪改来着？原帖子没了好像，.VMX里面没有啊？

在VMX里追加就行了

lifan88

cocomail 发表于 2018-1-15 16:02
在VMX里追加就行了

谢了

BE_HC

lifan88 发表于 2018-1-15 16:08
谢了

原帖子https://bbs.kafan.cn/thread-1961700-1-1.html
表示学生党一般下午上线

lifan88

BE_HC 发表于 2018-1-15 17:27
原帖子https://bbs.kafan.cn/thread-1961700-1-1.html
表示学生党一般下午上线

并不行[:12那些反虚拟机好像没那么简单

lifan88

还没寒假吗？怎么卡饭这么冷？