rootkit_filesafe_auto

显示全部楼层 · 发表于 2019-4-25 15:25:13

Gollum 发表于 2019-4-25 15:21
我没上报

嗯嗯，收到。。。

显示全部楼层 · 发表于 2019-4-25 15:51:57

Avira，清空！

显示全部楼层 · 发表于 2019-4-25 16:11:09

ESET，报.sys VMP壳，MISS .exe 。

显示全部楼层 · 发表于 2019-4-25 16:28:30

www-tekeze 发表于 2019-4-25 15:13
两个都是入库杀，你上报过吗？火绒miss all，有空双击。。。

双击，就只看到创建系统目录和删除自身，没见加驱啊。。

重启试试。。。

显示全部楼层 · 发表于 2019-4-25 16:36:57

www-tekeze 发表于 2019-4-25 16:28
双击，就只看到创建系统目录和删除自身，没见加驱啊。。重启试试。。。

重启用火绒专杀扫描没发现问题，不会自动加驱需要手动？但安装成功启动失败，不玩了。。

显示全部楼层 · 发表于 2019-4-25 16:37:31

www-tekeze 发表于 2019-4-25 16:28
双击，就只看到创建系统目录和删除自身，没见加驱啊。。重启试试。。。

你看c:\windows\system32\drivers目录是不是打不开就知道了。

显示全部楼层 · 发表于 2019-4-25 16:50:53

本帖最后由 www-tekeze 于 2019-4-25 16:52 编辑

落华无痕发表于 2019-4-25 16:37
你看c:\windows\system32\drivers目录是不是打不开就知道了。

这个Drivers和DriverStore直接看不到。。。火绒和智量快速扫描也没发现问题。。

显示全部楼层 · 发表于 2019-4-25 16:55:36

www-tekeze 发表于 2019-4-25 16:50
这个Drivers和DriverStore直接看不到。。。火绒和智量快速扫描也没发现问题。。

之前双击时特意退出智量，果然，即使关闭实时监控，WIBD主防也能杀。。

显示全部楼层 · 发表于 2019-4-25 17:23:22

www-tekeze 发表于 2019-4-25 16:50
这个Drivers和DriverStore直接看不到。。。火绒和智量快速扫描也没发现问题。。

当然扫描不到啦。这个病毒比较特殊。

驱动运行后就删除自身，只在内存里存留，文件都没有怎么可能扫描的到？

注册了关机回调，关机时自动回写，Pchunter删除病毒驱动的关机回调后重启，病毒挂了。

难怪我用360急救箱扫描不到，关机卡死，重启后发现急救箱文件隔离区多了残留的驱动服务（扫描时看不到）。

显示全部楼层 · 发表于 2019-4-25 17:30:30

落华无痕发表于 2019-4-25 17:23
当然扫描不到啦。这个病毒比较特殊。

驱动运行后就删除自身，只在内存里存留，文件都没有怎么可能扫描 ...

木马自己的BUG吧，在急救箱扫描下基本无法存活。

[病毒样本] rootkit_filesafe_auto