新型锁机一只,能日UEFI

显示全部楼层 · 发表于 2019-1-23 11:07:31

本帖最后由 www-tekeze 于 2019-1-23 11:12 编辑

jqj0901 发表于 2019-1-23 10:58
UEFI进传统模式输入密码即可恢复,有写MBR的动作的不过只有驱动层才能拦截到

服了！！

火绒确实不能拦截内核态的写MBR动作。。。@火绒工程师

显示全部楼层 · 发表于 2019-1-23 11:11:58

jqj0901 发表于 2019-1-23 11:05
下次换成内存加载这个DLL通杀就不好玩了

厉害，RQ没了，待会给你加人气。。

@yjwfdc @落华无痕两位来看看。。。

显示全部楼层 · 发表于 2019-1-23 11:36:19

www-tekeze 发表于 2019-1-23 11:07
服了！！火绒确实不能拦截内核态的写MBR动作。。。@火绒工程师

收到，我们分析看一下，感谢~

显示全部楼层 · 发表于 2019-1-23 11:43:09

火绒工程师发表于 2019-1-23 11:36
收到，我们分析看一下，感谢~

官人，内核态的改写拦不了的，但@Chang_Feng大佬说了也可以做到，希望5.0大版本能有改进。。

显示全部楼层 · 发表于 2019-1-23 11:49:31

www-tekeze 发表于 2019-1-23 10:53
双击会释放一个黑dll，阻止后出错，允许的话瞬间强行关机，重启成这样了。。
没有写MBR动作？火 ...

我这里虚拟机win10 64位系统，，UEFI启动，执行样本后自动关机，重启后正常进入系统啊

显示全部楼层 · 发表于 2019-1-23 12:18:56

vm001 发表于 2019-1-23 11:49
我这里虚拟机win10 64位系统，，UEFI启动，执行样本后自动关机，重启后正常进入系统啊

额...这个不清楚= =勒索uefi的原理是加密DBR,也许是权限问题?
我在调试的时候手滑把自己win10+UEFI实机都锁住了(还好源码在另一块硬盘)= =

显示全部楼层 · 发表于 2019-1-23 12:20:07

www-tekeze 发表于 2019-1-23 11:11
厉害，RQ没了，待会给你加人气。。 @yjwfdc @落华无痕两位来看看。。。

表哥过奖了

显示全部楼层 · 发表于 2019-1-23 12:36:09

vm001 发表于 2019-1-23 11:49
我这里虚拟机win10 64位系统，，UEFI启动，执行样本后自动关机，重启后正常进入系统啊

权限不够没跑开吧，或者你的bug10开启了内核隔离？？

显示全部楼层 · 发表于 2019-1-23 12:37:59

jqj0901 发表于 2019-1-23 12:20
表哥过奖了

退出影子被锁了，但影子里只是被强行关机，重启后啥事没有，写个穿影子的如何？

显示全部楼层 · 发表于 2019-1-23 12:42:40

www-tekeze 发表于 2019-1-23 12:37
退出影子被锁了，但影子里只是被强行关机，重启后啥事没有，写个穿影子的如何？

影子我可穿不了

[病毒样本] 新型锁机一只,能日UEFI