ClopRansomware (19.02.22)

显示全部楼层 · 发表于 2019-2-22 20:56:15

你好，再见发表于 2019-2-22 20:39
SD的驱动是无法卸载掉的。。。

那个是服务程序用的，但卸载后服务不会启动，驱动当然也不会加载。。。现在卸载火绒都会留下驱动。。

显示全部楼层 · 发表于 2019-2-22 21:00:03

huang1111 发表于 2019-2-22 20:50
记错了（全是shadow。。。），不过影子系统无法完全卸载的问题也不是一天两天了，27楼已经给出答复 ...

也不叫无法完全卸载吧，只是磁盘上有点残留文件，底层软件包括杀软有哪个能不留点痕迹？

用Total Uninstall之类的，大不了进PE。。。

显示全部楼层 · 发表于 2019-2-22 21:05:42

www-tekeze 发表于 2019-2-22 21:00
也不叫无法完全卸载吧，只是磁盘上有点残留文件，底层软件包括杀软有哪个能不留点痕迹？

用Total Unin ...

强卸貌似会出问题，你可以试试，具体啥问题早忘了，我也不玩影子，而且如果卸载影子之后，跑样本也不清楚会不会出现反影子措施

显示全部楼层 · 发表于 2019-2-22 21:26:38

huang1111 发表于 2019-2-22 21:05
强卸貌似会出问题，你可以试试，具体啥问题早忘了，我也不玩影子，而且如果卸载影子之后，跑样本也不清楚 ...

说真，从09年开始玩SD，我还没真正卸载过，干嘛要卸呢大不了不进影子就行了呗。。。以前网上有强卸出问题的，那是密码忘了强行删，但专门有个“SD.Password.Reset”的工具，可以重置清空密码。。

显示全部楼层 · 发表于 2019-2-23 21:20:40

www-tekeze 发表于 2019-2-22 10:55
智量kill，火绒miss，有空双击。。

智量是不是属于纯扫描器，就是说只有扫描才能发现病毒，不扫描就发现不了

显示全部楼层 · 发表于 2019-2-23 21:29:24

神算子发表于 2019-2-23 21:20
智量是不是属于纯扫描器，就是说只有扫描才能发现病毒，不扫描就发现不了

有实时监控啊，比如你下了个样本包，不关闭实时监控的话，一解压弹窗能让你点到手软。。

显示全部楼层 · 发表于 2019-2-23 21:42:16

www-tekeze 发表于 2019-2-23 21:29
有实时监控啊，比如你下了个样本包，不关闭实时监控的话，一解压弹窗能让你点到手软。。

但是你先下载样本包，再开启智量，他就发现不了了

显示全部楼层 · 发表于 2019-2-23 22:01:23

神算子发表于 2019-2-23 21:42
但是你先下载样本包，再开启智量，他就发现不了了

不可能！除非是刚安装完，想启用实时监控必须得重启，但以后不需要的。

显示全部楼层 · 发表于 2019-2-23 22:03:21

www-tekeze 发表于 2019-2-23 22:01
不可能！除非是刚安装完，想启用实时监控必须得重启，但以后不需要的。

如果你不信，你可以试试，我以前试过的

显示全部楼层 · 发表于 2019-2-23 22:04:40

神算子发表于 2019-2-23 21:42
但是你先下载样本包，再开启智量，他就发现不了了

带密码的样本包？没解压？

[病毒样本] ClopRansomware (19.02.22)