极度危险的样本！秒杀系列！

显示全部楼层 · 发表于 2018-10-11 13:37:42

wowocock 发表于 2018-10-11 11:50
看了下SD,不禁止驱动加载，所以应该可以穿它写MBR，虽然他做了很多文件，磁盘过滤，磁盘微端口HOOK，及线 ...

最后的最后，快把样本放出来，我两手都痒得直哆嗦了。。

显示全部楼层 · 发表于 2018-10-11 14:00:26

www-tekeze 发表于 2018-10-11 13:30
SD是不禁止加驱，否则很多软件就没法用了，SD也就没市场了。。。暴力重启 (急救箱就有) 让SD来不及回写， ...

真的能写入MBR，没问题，不过目前应该没有直接破他的木马，自己写一个比较麻烦，因为涉及到很多东西，所以懒得写了，免得写出来被利用了反而不好，哈哈。

显示全部楼层 · 发表于 2018-10-11 14:03:18

hao1234566 发表于 2018-10-11 12:10
那我是uefi是不是就不怕mbr病毒了？

UEFI有UEFI的病毒，虽然SECUREBOOT下想实现BOOTKIT不容易，不过想搞个破坏还是很容易的。

显示全部楼层 · 发表于 2018-10-11 16:15:54

360tse秒杀

显示全部楼层 · 发表于 2018-10-11 17:56:53

易语言辅助人脑查杀

显示全部楼层 · 发表于 2018-10-11 18:11:36

本帖最后由 wowocock 于 2018-10-12 11:38 编辑

www-tekeze 发表于 2018-10-11 13:37
最后的最后，快把样本放出来，我两手都痒得直哆嗦了。。

花了2小时写了一个驱动，用附件里的工具安装，然后启动即可。会自动重启然后锁定MBR，密码1234567890.测试环境32位 XP，SD1.4.0.680。为防止恶意利用加了VMP，而且只支持32位，64位原理相同，懒得做了，哈哈。

显示全部楼层 · 发表于 2018-10-11 18:15:09

wowocock 发表于 2018-10-11 18:11
花了2小时写了一个驱动，用附件里的工具安装，然后启动即可。会自动重启然后锁定MBR，密码1234567890.测 ...

建议用XP测试，别用WIN7，因为WIN7 的VMWARE BUG导致开机输入正确密码也无法还原。VMWARE WIN7实模式下的键盘中断处理貌似有BUG，也是无语，不过VMWARE的XP测试没问题。

显示全部楼层 · 发表于 2018-10-11 18:18:08

wowocock 发表于 2018-10-11 18:11
花了2小时写了一个驱动，用附件里的工具安装，然后启动即可。会自动重启然后锁定MBR，密码1234567890.测 ...

下午出门办事，刚到家正准备吃饭。。。不吃了双击完再说。。

显示全部楼层 · 发表于 2018-10-11 18:38:45

www-tekeze 发表于 2018-10-11 18:18
下午出门办事，刚到家正准备吃饭。。。不吃了双击完再说。。

因为是驱动，所以需要用附件的InstDrv.exe，打开DoDiskPt.vmp.sys，然后点安装，再点启动才行。期间需要关闭杀软，因为加了壳基本会被报毒。因为主要测试SD的防护，其实只是说明一个简单道理，对于任何安全软件来说，禁止加载恶意驱动是第一首要任务，否则中毒后查杀，就要考验杀软的真正核心能力，说实话国内没几个能合格的，国外的很多也不怎么样。

显示全部楼层 · 发表于 2018-10-11 18:43:06

wowocock 发表于 2018-10-11 18:15
建议用XP测试，别用WIN7，因为WIN7 的VMWARE BUG导致开机输入正确密码也无法还原。VMWARE WIN7实模式下 ...

确实穿了。。。

虚拟机装的Win8.1 x86，安装、启动有两次加驱动作，重启后被锁，但我用的VBox，没VM上的那个bug，输入密码正常进入桌面。。。我也没话说了，看来那个“out令牌”是吓唬人的？当然是大佬出手，否则。。

[病毒样本] 极度危险的样本！秒杀系列！

评分

本帖子中包含更多资源