两只rootkit

wowocock

www-tekeze 发表于 2018-12-12 22:09
用PCH看只能按6楼大佬给的，但用火绒剑根据名字可以直接找到，并且可定位到文件位置和注册表进行删除，不 ...

你有个基本概念的错误，就是木马驱动加载时序的差别可以说是天壤之别。真正考验杀软技术的是木马加载后，重启（一般用户都是这种情况，除非你们这种专门测试的人），整个木马的防御体系都完整启用后，能否查杀掉，才是考验一个查杀软件的真正实力。按照你们那种测试方法，导致所有杀软都差不多，即使最强的卡巴的能力也能被你们整的泯然众人矣。更不用说论坛里大把只会扫描病毒包，死文件的人了。都是误人子弟的。

kaba666

落华无痕 发表于 2018-12-13 09:59
试了下win7 x64真没出现你说的情况。唯一有问题的是火绒剑添加两个驱动重启删除后，重启系统进不去了，提 ...

不知道了！反正我们昨晚把系统蹦了！

www-tekeze

wowocock 发表于 2018-12-13 10:29
你有个基本概念的错误，就是木马驱动加载时序的差别可以说是天壤之别。真正考验杀软技术的是木马加载后， ...

知道没重启结果不准，所以今天准备退出影子重启试试。。

wowocock

www-tekeze 发表于 2018-12-13 10:33
知道没重启结果不准，所以今天准备退出影子重启试试。。

装个WIN7 64位虚拟机测试即可。大多样本都没影响。

落华无痕

www-tekeze 发表于 2018-12-13 10:33
知道没重启结果不准，所以今天准备退出影子重启试试。。

删除驱动文件的话，注意备份partmgr.sys和tcpip.sys。不然进不去系统了。

kaba666

www-tekeze 发表于 2018-12-13 10:33
知道没重启结果不准，所以今天准备退出影子重启试试。。

有个批问题是退出杀软后运行，运行成功后，杀软就检测不到了，单独去扫描那两个驱动，杀软还不报毒！奇怪

wowocock

落华无痕 发表于 2018-12-13 10:36
删除驱动文件的话，注意备份partmgr.sys和tcpip.sys。不然进不去系统了。

这些都是系统文件，木马很喜欢搞这种移花接木。所以会导致误删。除了上面这2个之外，ACPI.SYS也是木马比较喜欢冒充的文件之一。

wowocock

kaba666 发表于 2018-12-13 10:37
有个批问题是退出杀软后运行，运行成功后，杀软就检测不到了，单独去扫描那两个驱动，杀软还不报毒！奇怪

很正常，一个合格的ROOTKIT（暂不说优秀）就是被加载起来后，可以在所有安全软件下隐身，不用特殊的方式都无法发现。

落华无痕

wowocock 发表于 2018-12-13 10:29
你有个基本概念的错误，就是木马驱动加载时序的差别可以说是天壤之别。真正考验杀软技术的是木马加载后， ...

是这个地方吧，那个改主页的驱动好像就是用System Reserved，这里看比360的360DsArk优先级还高？

wowocock

落华无痕 发表于 2018-12-13 10:41
是这个地方吧，那个改主页的驱动好像就是用System Reserved，这里看比360的360DsArk优先级还高？

嗯，很多木马都喜欢用那个组，优点是开机最早加载，缺点是要求比较高，一旦出错，导致无法进入系统。所以360的驱动，处于稳妥考虑，会在他后面。这种情况可能要使用急救箱的强力查杀了。