极度危险的样本！秒杀系列！

显示全部楼层 · 发表于 2018-10-12 01:17:37

本帖最后由 www-tekeze 于 2018-10-12 01:18 编辑

2018-10-11 22:25

两个exe都是，看12楼，锁机界面不一样，一绿一黑。

显示全部楼层 · 发表于 2018-10-12 02:12:32

估计mbr部分连电脑速度卫士都能防，明天试试实机双击。

显示全部楼层 · 发表于 2018-10-12 10:08:53

wowocock 发表于 2018-10-11 14:03
UEFI有UEFI的病毒，虽然SECUREBOOT下想实现BOOTKIT不容易，不过想搞个破坏还是很容易的。

那uefi还是不怕mbr喽？只是怕uefi病毒

显示全部楼层 · 发表于 2018-10-12 10:12:57

www-tekeze 发表于 2018-10-11 22:00
火绒官人曾说过，“写磁盘保留扇区”只能拦截用户态操作，内核态的拦截不了，你这个确实是在内核里操作， ...

写完MBR后暴力重启了。所以没人能回写。SD对自己和系统的保护还是比较完善的，这里用了一个比较猥琐的方法处理。细节就不说了。只是要说明的是一旦突破进入内核了，就没有任何安全可言了。所以安装一个安全软件还是很重要的，特别对于国内的来说。比如WIN10下的很多人都认为用微软的就够了，其实是完全不够的。

显示全部楼层 · 发表于 2018-10-12 10:15:03

hao1234566 发表于 2018-10-12 10:08
那uefi还是不怕mbr喽？只是怕uefi病毒

是的，传统的MBR病毒应该是没影响的。不过相信很快会出现，感染MBR,UEFI双系统的bootkit 木马。因为技术上来说已经可以实现。

显示全部楼层 · 发表于 2018-10-12 10:18:06

wowocock 发表于 2018-10-12 10:15
是的，传统的MBR病毒应该是没影响的。不过相信很快会出现，感染MBR,UEFI双系统的bootkit 木马。因为技术 ...

感谢解答，不过eset的文章中已经说发现了uefi病毒

显示全部楼层 · 发表于 2018-10-12 10:21:29

www-tekeze 发表于 2018-10-11 22:02
嗯，虽然加了VMP壳，还是删了好。。

换了个TXT上去，主要是不知道怎么删除附件，悲催。

显示全部楼层 · 发表于 2018-10-12 10:44:24

www-tekeze 发表于 2018-10-12 01:17
两个exe都是，看12楼，锁机界面不一样，一绿一黑。

红伞只报了362工具箱.exe，wg没报

显示全部楼层 · 发表于 2018-10-12 10:55:21

www-tekeze 发表于 2018-10-11 22:00
火绒官人曾说过，“写磁盘保留扇区”只能拦截用户态操作，内核态的拦截不了，你这个确实是在内核里操作， ...

刚刚抽空看了64位下的SD防护，让我大跌眼镜的是64位下竟然只做了文件，卷，磁盘过滤防护，没有在磁盘微端口做保护，导致内核中可以随意写底层的MBR，比起32位下的保护强度下降了好几个档次。

显示全部楼层 · 发表于 2018-10-12 11:05:18

wowocock 发表于 2018-10-12 10:12
写完MBR后暴力重启了。所以没人能回写。SD对自己和系统的保护还是比较完善的，这里用了一个比较猥琐的方 ...

又仔细看了，应该是暴力重启，以前网上就有人说过，但没人放过样本 (起码我没见到)，这次长见识了。。。最后问个问题，SD对写入不都会重定向么，那你写MBR时怎么能写到真实扇区里呢？还是把它的重定向绕过了吧？是不是又用了什么猥琐的方法？？

也真是的，没有最猥琐只有更猥琐。。。

[病毒样本] 极度危险的样本！秒杀系列！