两只rootkit

諾言敵不過時間

沒環境，只測掃描了。

kaba666

落华无痕 发表于 2018-12-12 22:15
严重怀疑，你是病毒催化剂，病毒遇上你杀伤力会加倍。试了下，ie能正常访问火绒专杀工具下载页面。 ...

呵呵，这驱动我感觉比改主页那个厉害，怎么说呢，这驱动删了，把系统搞坏，那个该主页的删了至少没把系统搞坏嘛！

落华无痕

kaba666 发表于 2018-12-12 22:58
挂了哈？呵呵！

不是系统挂了，是病毒挂了。

kaba666

落华无痕 发表于 2018-12-12 23:17
不是系统挂了，是病毒挂了。

哦

落华无痕

kaba666 发表于 2018-12-12 22:55
我用的Window7 64

实机是这个，虚拟机就没装。看你说的，我都不敢实机运行了，明天虚拟机搞个试下。

www-tekeze

kaba666 发表于 2018-12-12 23:14
呵呵，这驱动我感觉比改主页那个厉害，怎么说呢，这驱动删了，把系统搞坏，那个该主页的删了至少没把系统 ...

别乱吹！6楼大佬都说了，可轻松干掉，没什么特色。。。呵呵，明天我退出影子试试。。

兔子大大

www-tekeze 发表于 2018-12-12 17:35
智量本地Heur清空，火绒 miss all，准备双击。。

@小Q机器人  来看一下，heur.ml.pe.e不一定都是误报，看这两个厉害的病毒还得归功于它

www-tekeze

happycat 发表于 2018-12-13 07:39
@小Q机器人  来看一下，heur.ml.pe.e不一定都是误报，看这两个厉害的病毒还得归功于它

智量的E是加强壳类，误报是高些，但往往这种危害性也很大，还是宁可信其有吧。

落华无痕

kaba666 发表于 2018-12-12 23:14
呵呵，这驱动我感觉比改主页那个厉害，怎么说呢，这驱动删了，把系统搞坏，那个该主页的删了至少没把系统 ...

试了下win7 x64真没出现你说的情况。唯一有问题的是火绒剑添加两个驱动重启删除后，重启系统进不去了，提示找不到windows\system32\drivers\partmgr.sys。估计跟下图有关。





这两个病毒都会伪装自己，估计是让系统读取自身文件属性时，转而读取那两个系统文件，导致火绒剑误删系统文件。
360卫士扫描，提示发现顽固木马，但是看不到路径，问是否强力扫描，点是就开始安装强力扫描，重启了两次，成功发现木马路径，删除成功。
其他杀软安装包较大，没试过，火绒是扫描不出。

wowocock

落华无痕 发表于 2018-12-13 09:59
试了下win7 x64真没出现你说的情况。唯一有问题的是火绒剑添加两个驱动重启删除后，重启系统进不去了，提 ...

嗯，这种属于低技术水准的ROOTKIT木马，卫士都可以轻松查杀。所以一般用卫士即可。技术含量高的，吊打各杀软的，再考虑用急救箱查杀。