改主页驱动木马一枚，运行后几乎免疫所有杀软

显示全部楼层 · 发表于 2018-12-5 14:23:43

wowocock 发表于 2018-12-5 14:15
直接用驱动加载，然后重启电脑，用PCHUNTER看驱动列表里如果有2个ACPI.SYS那么说明起作用了。用急救箱的 ...

用火绒剑看到了，是引导启动，之前没重启。。。
晚上抽空玩，除了你的急救箱，偶还有Ghost，不怕。。

显示全部楼层 · 发表于 2018-12-5 14:26:07

www-tekeze 发表于 2018-12-5 13:58
怎么可能，在system32下，看30楼最后那个图的路径。

我找了!有这个驱动文件,但是并不会破坏主页!我重启电脑后还是没任何问题!一切正常

显示全部楼层 · 发表于 2018-12-5 14:30:08

本帖最后由 www-tekeze 于 2018-12-5 14:31 编辑

kaba666 发表于 2018-12-5 14:16
我重新全面测试了哈！我把火绒退出去了，测试，结果主页并没有改，但是IE下边有个弹框。这个并不严重啊！ ...

你连drivers目录在哪里都不清楚，算了，晚上我自己测，我相信没你说的这么简单。。

显示全部楼层 · 发表于 2018-12-5 14:35:29

本帖最后由 kaba666 于 2018-12-5 14:38 编辑

www-tekeze 发表于 2018-12-5 14:30
你连drivers目录在哪里都不清楚，算了，晚上我自己测，我相信没你说的这么简单。。

找到了,这目录在windows下的,那个人给个路径说在c:\下,给我误导

显示全部楼层 · 发表于 2018-12-5 15:25:07

www-tekeze 发表于 2018-12-5 14:23
用火绒剑看到了，是引导启动，之前没重启。。。
晚上抽空玩，除了你的急救箱，偶还有Ghost，不怕。。[:1 ...

替换急救箱FIX目录下的360tdws64.sys然后运行急救箱查杀即可。或者用WINPE查杀，这种ROOTKIT虽然麻烦但抵不过一个WINPE。

显示全部楼层 · 发表于 2018-12-5 15:34:15

这个驱动病毒终于在我的虚拟机实现了！但是没改到我的主页！我在试图删掉这个驱动的时候问题来了！尼玛~一删就关机！再开机，系统崩了！进不了系统，！

显示全部楼层 · 发表于 2018-12-5 15:36:39

kaba666 发表于 2018-12-5 15:34
这个驱动病毒终于在我的虚拟机实现了！但是没改到我的主页！我在试图删掉这个驱动的时候问题来了！尼玛~一 ...

他有很多保护机制，整不好很容易挂掉。所以按常规操作。
1，用前面网盘文件，替换急救箱FIX目录下的360tdws64.sys然后运行急救箱查杀即可。
2，或者用WINPE查杀，这种ROOTKIT虽然麻烦但抵不过一个WINPE。

显示全部楼层 · 发表于 2018-12-5 15:39:37

wowocock 发表于 2018-12-5 15:25
替换急救箱FIX目录下的360tdws64.sys然后运行急救箱查杀即可。或者用WINPE查杀，这种ROOTKIT虽然麻烦但抵 ...

肯定抵不过WinPE啊，你都把人家变磁盘上的一堆尸体了。。

之前32位8.1虚拟机里，安装成功但启动失败，无奈只得换实机影子里，没法重启。。。晚上退出影子试。。

显示全部楼层 · 发表于 2018-12-5 15:42:50

www-tekeze 发表于 2018-12-5 15:39
肯定抵不过WinPE啊，你都把人家变磁盘上的一堆尸体了。。之前32位8.1虚拟机里，安装成功但启 ...

这是64位驱动，所以在32位下是无法加载测试的，这驱动比较新是2018年12月3号21：56：42编译的，我们还没找到他32位样本。所以目前只能在64位系统下测试。

显示全部楼层 · 发表于 2018-12-5 15:43:53

kaba666 发表于 2018-12-5 15:34
这个驱动病毒终于在我的虚拟机实现了！但是没改到我的主页！我在试图删掉这个驱动的时候问题来了！尼玛~一 ...

呵呵，我就说没你讲的那么简单。。。
火绒搞不定？专杀工具呢？另外你虚拟机里装有卡巴么，都试试啊。。

[病毒样本] 改主页驱动木马一枚，运行后几乎免疫所有杀软