【奇怪的免杀思路】老司机翻车录,被一Rootkit潜伏一年多,点名某些KMS捆绑Ro...

liangxy

lifan88 发表于 2019-7-13 17:14
好像没大兄弟测试过。。

eset右键扫描，2个kms报kms不受欢迎文件
2个驱动报vm壳

lifan88

liangxy 发表于 2019-7-13 20:31
eset右键扫描，2个kms报kms不受欢迎文件
2个驱动报vm壳

加载驱动后试试目前只有卡巴不用专杀能在驱动加载后还能扫描出来，360好像不用专杀也行

你可能不知道，这个驱动加载后读取就被篡改了

PS：这类驱动都是面向64位系统的

liangxy

lifan88 发表于 2019-7-14 15:09
加载驱动后试试目前只有卡巴不用专杀能在驱动加载后还能扫描出来，360好像不用专杀也行

...

实机不敢加载驱动

lifan88

liangxy 发表于 2019-7-14 16:47
实机不敢加载驱动

我实机加载驱动就是我的网挂了。。。他们好像太老了，没有动作了（有动作也看不出来），360浏览器的兼容模式不会被病毒干扰，但是正常模式和IE浏览器就彻底完蛋，怎么修都没有网。。。如果你的电脑不是重要电脑（如电脑只有游戏），实际上可以试试，测试之前保存partmgr.sys/fltmgr.sys的副本，和这里两个驱动相关的注册表项，防止翻车，翻车可以PE修一修

AlphaRabbit

昨晚的测试结果：360 MalwareBytes 瑞星 金山 火绒 腾管 ESET，全部翻车（感染后无法检测到RTK的驱动文件，虚拟机配置：Windows 7 x64，扫描配置：直接点全盘扫描）。
Avast可以检测到这个Rootkit，但是，没有办法在系统运行时清除掉这个RTK。


（以下是私货）
似乎上面有人提到在感染这种顽固Rootkit时用急救箱，但是这里有个问题：就我见过的小白连PCHunter都不知道，他们首先要依赖的就是自己电脑里的反恶意软件。
在这里就出现了问题：如果他们手上的反恶意软件检测不到，那么他们还会继续用急救箱查吗？

windows7爱好者

虚拟机win7 x64环境
BD 2020 24.0.3.15版本
双击运行重启后中招

安装BD，更新后直接System Scan，最后就杀了个这玩意

我不死心，再次重启后quick scan



唉，BD啊BD，我记得前几年有个ROOTKIT，BD处理的还很好来着，现在怎么缩水这么严重了

静影沉璧

windows7爱好者 发表于 2019-7-19 23:28
虚拟机win7 x64环境
BD 2020 24.0.3.15版本
双击运行重启后中招

上救援模式应该能搞定

windows7爱好者

静影沉璧 发表于 2019-7-19 23:31
上救援模式应该能搞定

NS选手准备上场

好的，我们知名的ns选手来了，老规矩，双击and重启，我手动开了主动启发式
在我运行liveupdate的时候，启发就杀掉了桌面上的两个EXE


然后运行扫描，发现了没卵用的cookie和一个temp下KMS释放的EXE，KMS卸载程序从隔离区放出来双击一次，被sonar杀掉


好吧，我没辙了，NPE！启动（重启了）
NPE扫描出TEMP目录里的一个不知名的玩意，估计仍然是主体释放的？同时还误报了我的Proxifier汉化安装程序...



最后云鉴定还显示是安全的....NS失败告终

windows7爱好者

kxmp 发表于 2019-7-12 17:16
这么老他可能都死掉了吧...
我郁闷gmer能不能看见呢...

windows7爱好者

awsMBR需要下载小A的引擎

快速扫描什么也没发现，尝试扫描整个C盘，但是......一到这个驱动就会报错退出，不过显示已经扫描过System32了，并没发现什么