搜索
楼主: lifan88
收起左侧

[病毒样本] 【奇怪的免杀思路】老司机翻车录,被一Rootkit潜伏一年多,点名某些KMS捆绑Ro...

  [复制链接]
liangxy
发表于 2019-7-13 20:31:50 | 显示全部楼层
lifan88 发表于 2019-7-13 17:14
好像没大兄弟测试过。。

eset右键扫描,2个kms报kms不受欢迎文件
2个驱动报vm壳
lifan88
 楼主| 发表于 2019-7-14 15:09:29 | 显示全部楼层
本帖最后由 lifan88 于 2019-7-14 15:14 编辑
liangxy 发表于 2019-7-13 20:31
eset右键扫描,2个kms报kms不受欢迎文件
2个驱动报vm壳

加载驱动后试试目前只有卡巴不用专杀能在驱动加载后还能扫描出来,360好像不用专杀也行

你可能不知道,这个驱动加载后读取就被篡改了

PS:这类驱动都是面向64位系统的
liangxy
发表于 2019-7-14 16:47:57 | 显示全部楼层
lifan88 发表于 2019-7-14 15:09
加载驱动后试试目前只有卡巴不用专杀能在驱动加载后还能扫描出来,360好像不用专杀也行

...

实机不敢加载驱动
lifan88
 楼主| 发表于 2019-7-14 19:25:44 | 显示全部楼层
liangxy 发表于 2019-7-14 16:47
实机不敢加载驱动

我实机加载驱动就是我的网挂了。。。他们好像太老了,没有动作了(有动作也看不出来),360浏览器的兼容模式不会被病毒干扰,但是正常模式和IE浏览器就彻底完蛋,怎么修都没有网。。。如果你的电脑不是重要电脑(如电脑只有游戏),实际上可以试试,测试之前保存partmgr.sys/fltmgr.sys的副本,和这里两个驱动相关的注册表项,防止翻车,翻车可以PE修一修
AlphaRabbit
发表于 2019-7-19 17:03:29 | 显示全部楼层
本帖最后由 AlphaRabbit 于 2019-7-19 17:08 编辑

昨晚的测试结果:360 MalwareBytes 瑞星 金山 火绒 腾管 ESET,全部翻车(感染后无法检测到RTK的驱动文件,虚拟机配置:Windows 7 x64,扫描配置:直接点全盘扫描)。
Avast可以检测到这个Rootkit,但是,没有办法在系统运行时清除掉这个RTK。


(以下是私货)
似乎上面有人提到在感染这种顽固Rootkit时用急救箱,但是这里有个问题:就我见过的小白连PCHunter都不知道,他们首先要依赖的就是自己电脑里的反恶意软件。
在这里就出现了问题:如果他们手上的反恶意软件检测不到,那么他们还会继续用急救箱查吗?

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x

评分

参与人数 1人气 +1 收起 理由
lifan88 + 1 来了来了!^_^

查看全部评分

windows7爱好者
发表于 2019-7-19 23:28:05 | 显示全部楼层
本帖最后由 windows7爱好者 于 2019-7-19 23:29 编辑

虚拟机win7 x64环境
BD 2020 24.0.3.15版本
双击运行重启后中招

安装BD,更新后直接System Scan,最后就杀了个这玩意

我不死心,再次重启后quick scan



唉,BD啊BD,我记得前几年有个ROOTKIT,BD处理的还很好来着,现在怎么缩水这么严重了




本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x

评分

参与人数 2人气 +3 收起 理由
lifan88 + 1 惨烈LOL
静影沉璧 + 2 神马都是浮云

查看全部评分

静影沉璧
发表于 2019-7-19 23:31:32 | 显示全部楼层
windows7爱好者 发表于 2019-7-19 23:28
虚拟机win7 x64环境
BD 2020 24.0.3.15版本
双击运行重启后中招

上救援模式应该能搞定
windows7爱好者
发表于 2019-7-19 23:37:20 | 显示全部楼层
本帖最后由 windows7爱好者 于 2019-7-20 12:41 编辑
静影沉璧 发表于 2019-7-19 23:31
上救援模式应该能搞定

NS选手准备上场

好的,我们知名的ns选手来了,老规矩,双击and重启,我手动开了主动启发式
在我运行liveupdate的时候,启发就杀掉了桌面上的两个EXE


然后运行扫描,发现了没卵用的cookie和一个temp下KMS释放的EXE,KMS卸载程序从隔离区放出来双击一次,被sonar杀掉


好吧,我没辙了,NPE!启动(重启了)
NPE扫描出TEMP目录里的一个不知名的玩意,估计仍然是主体释放的?同时还误报了我的Proxifier汉化安装程序...



最后云鉴定还显示是安全的....NS失败告终


本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x

评分

参与人数 1人气 +1 收起 理由
lifan88 + 1 GG

查看全部评分

windows7爱好者
发表于 2019-7-20 10:48:08 | 显示全部楼层
kxmp 发表于 2019-7-12 17:16
这么老他可能都死掉了吧...
我郁闷gmer能不能看见呢...


本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
windows7爱好者
发表于 2019-7-20 12:08:54 | 显示全部楼层
本帖最后由 windows7爱好者 于 2019-7-20 12:42 编辑

awsMBR需要下载小A的引擎

快速扫描什么也没发现,尝试扫描整个C盘,但是......一到这个驱动就会报错退出,不过显示已经扫描过System32了,并没发现什么






本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛|卡饭乐购| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 苏ICP备07004770号 ) GMT+8, 2019-12-11 16:27 , Processed in 0.068877 second(s), 16 queries .

快速回复 返回顶部 返回列表