搜索
楼主: jqj0901
收起左侧

[病毒样本] 新型锁机一只,能日UEFI

  [复制链接]
www-tekeze
发表于 2019-1-23 11:07:31 | 显示全部楼层
本帖最后由 www-tekeze 于 2019-1-23 11:12 编辑
jqj0901 发表于 2019-1-23 10:58
UEFI进传统模式输入密码即可恢复,有写MBR的动作的不过只有驱动层才能拦截到

服了!!    火绒确实不能拦截内核态的写MBR动作。。。@火绒工程师
www-tekeze
发表于 2019-1-23 11:11:58 | 显示全部楼层
jqj0901 发表于 2019-1-23 11:05
下次换成内存加载这个DLL通杀就不好玩了

厉害,RQ没了,待会给你加人气。。   @yjwfdc   @落华无痕  两位来看看。。。
火绒工程师
发表于 2019-1-23 11:36:19 | 显示全部楼层
www-tekeze 发表于 2019-1-23 11:07
服了!!    火绒确实不能拦截内核态的写MBR动作。。。@火绒工程师

收到,我们分析看一下,感谢~
www-tekeze
发表于 2019-1-23 11:43:09 | 显示全部楼层
火绒工程师 发表于 2019-1-23 11:36
收到,我们分析看一下,感谢~

官人,内核态的改写拦不了的,但@Chang_Feng大佬说了也可以做到,希望5.0大版本能有改进。。

http://bbs.huorong.cn/thread-23808-1-1.html

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
vm001
发表于 2019-1-23 11:49:31 | 显示全部楼层
www-tekeze 发表于 2019-1-23 10:53
双击会释放一个黑dll,阻止后出错,允许的话瞬间强行关机,重启成这样了。。   
没有写MBR动作? 火 ...

我这里虚拟机win10 64位系统,,UEFI启动,执行样本后自动关机,重启后正常进入系统啊
jqj0901
 楼主| 发表于 2019-1-23 12:18:56 | 显示全部楼层
vm001 发表于 2019-1-23 11:49
我这里虚拟机win10 64位系统,,UEFI启动,执行样本后自动关机,重启后正常进入系统啊

额...这个不清楚= =勒索uefi的原理是加密DBR,也许是权限问题?
我在调试的时候手滑把自己win10+UEFI实机都锁住了(还好源码在另一块硬盘)= =
jqj0901
 楼主| 发表于 2019-1-23 12:20:07 | 显示全部楼层
www-tekeze 发表于 2019-1-23 11:11
厉害,RQ没了,待会给你加人气。。   @yjwfdc   @落华无痕  两位来看看。。。

表哥过奖了
www-tekeze
发表于 2019-1-23 12:36:09 | 显示全部楼层
vm001 发表于 2019-1-23 11:49
我这里虚拟机win10 64位系统,,UEFI启动,执行样本后自动关机,重启后正常进入系统啊

权限不够没跑开吧,或者你的bug10开启了内核隔离??
www-tekeze
发表于 2019-1-23 12:37:59 | 显示全部楼层

退出影子被锁了,但影子里只是被强行关机,重启后啥事没有,写个穿影子的如何?
jqj0901
 楼主| 发表于 2019-1-23 12:42:40 | 显示全部楼层
www-tekeze 发表于 2019-1-23 12:37
退出影子被锁了,但影子里只是被强行关机,重启后啥事没有,写个穿影子的如何?

影子我可穿不了
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛|卡饭乐购| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 苏ICP备07004770号 ) GMT+8, 2019-10-18 18:09 , Processed in 0.063829 second(s), 15 queries .

快速回复 返回顶部 返回列表