改主页驱动木马母体

显示全部楼层 · 发表于 2018-12-5 22:35:13

dsb2466 发表于 2018-12-5 20:41
官网：http://www.zhuyebaoan.com/

分析报告：https://mp.weixin.qq.com/s/eACiW8pFY_fbNekXTuIUAA

对这个官网安装包，火绒已做通杀，智量本地Heur也杀，其他家应该跟进了吧？

显示全部楼层 · 发表于 2018-12-5 23:43:32

www-tekeze 发表于 2018-12-5 22:35
对这个官网安装包，火绒已做通杀，智量本地Heur也杀，其他家应该跟进了吧？

这个只是一个配置生成器，杀不杀意义不大，重要的是驱动加载后的检出和查杀才是关键。这类病毒毒霸通常是放在专杀处理，查杀也有一部分特殊的策略，不过这个病毒加载后，确实没查杀到，目前官人说正在加专杀里去处理

显示全部楼层 · 发表于 2018-12-5 23:45:50

显示全部楼层 · 发表于 2018-12-5 23:56:06

dsb2466 发表于 2018-12-5 23:43
这个只是一个配置生成器，杀不杀意义不大，重要的是驱动加载后的检出和查杀才是关键。这类病毒毒霸通常是 ...

驱动病毒加载后就没办法了，只要作者花精力针对，隐藏很简单。

安软本也不该部署R0层的对抗手段，不仅影响系统稳定性，还没什么效果，只要不被比自己权限低的进程干掉即可。与驱动级病毒的对抗与清除技术应该部署在360急救箱这种类型的工具上。

显示全部楼层 · 发表于 2018-12-6 00:00:16

ccboxes 发表于 2018-12-5 23:56
驱动病毒加载后就没办法了，只要作者花精力针对，隐藏很简单。

安软本也不该部署R0层的对抗手段，不仅 ...

R0反正谁先进来谁是老大

显示全部楼层 · 发表于 2018-12-6 01:47:36

ccboxes 发表于 2018-12-5 23:56
驱动病毒加载后就没办法了，只要作者花精力针对，隐藏很简单。

安软本也不该部署R0层的对抗手段，不仅 ...

Accelerated Memory Scanning技术也没用吗？

显示全部楼层 · 发表于 2018-12-6 10:40:59

lovelive10010 发表于 2018-12-6 01:47
Accelerated Memory Scanning技术也没用吗？

什么技术都没用，或者说只在不被针对时有用。

安软驱动不能像病毒驱动那样使用各种破坏性的手段自保，不能去利用系统漏洞，不能影响系统运行速度。发布前要经过严格测试，不能像一些病毒一样一天几更。总之，权限与病毒驱动相同（几乎无限制），但能做的事却少多了。

所以安软不能也没有必要部署R0层的对抗手段，只要能拦截可疑驱动注册就行。驱动级病毒的缺点就在于注册驱动这个行为太敏感了，主防做针对性拦截很容易。

显示全部楼层 · 发表于 2018-12-6 10:41:05

你发这个是比较老的版本了，不是那个最新的版本。

显示全部楼层 · 发表于 2018-12-6 11:47:19

用360不行吗？

显示全部楼层 · 发表于 2018-12-6 17:47:05

诺顿拉黑+机器学习杀。

我记得2013年前的卡巴PDM加驱会有一个提示，就是该驱动加载后卡巴斯基便无法控制其行为，到了内核里强行对抗恐怕大概率蓝屏，除非使用一些未公开的函数，所以基本各大杀软厂商都有急救杀毒光盘这个东西

现在sys在诺顿这还是miss状态，不知道什么时候诺顿的AdvML也能支持sys

[病毒样本] 改主页驱动木马母体

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源