一发rootKit

swizzer

https://c-t.work/s/f17f452fecda49

过了智量主防，扫描未测。手杀党可以试试

2019\7\22 星期一 09:51:08    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\$1area\onlineinstaller\onlineinstaller.exe
命令行: "F:\$1area\OnlineInstaller\OnlineInstaller.exe"
规则: [应用程序]c:\windows\explorer.exe

2019\7\22 星期一 09:51:15    创建新进程    允许
进程: f:\$1area\onlineinstaller\onlineinstaller.exe
目标: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
命令行: C:\Users\ADMINI~1.USE\AppData\Local\Temp\OnlineInstaller.tmp -install
规则: [应用程序组]『询问』病毒测试

2019\7\22 星期一 09:51:21    修改注册表值    允许
进程: f:\$1area\onlineinstaller\onlineinstaller.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\Content\CachePrefix
值:
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

2019\7\22 星期一 09:51:21    创建文件    阻止
进程: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
目标: C:\Windows\system32\spoolsr.exe
规则: [应用程序组]『询问』病毒测试 -> [文件组]系统高危文件

2019\7\22 星期一 09:51:21    创建文件    阻止
进程: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
目标: C:\Windows\system32\drivers\iaStorE.sys
规则: [应用程序组]『询问』病毒测试 -> [文件组]系统高危文件

2019\7\22 星期一 09:51:27    修改注册表值    阻止
进程: c:\users\administrator.userchi-s6endp8\appdata\local\temp\onlineinstaller.tmp
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl\DumpFilters
值: dumpfve.sys iaStorE.sys
规则: [应用程序组]『询问』病毒测试 -> [注册表]*

kaba666

卡巴启发干掉

温馨小屋

最爱rootkit了

22.07.2019 09.47.45;检测到的对象 ( 文件 ) 已删除;Z:\utf-8' 'OnlineInstaller\OnlineInstaller.exe;Z:\utf-8' 'OnlineInstaller\OnlineInstaller.exe;HEUR:Trojan.Win32.Generic



稍后清除测试

运行后重启

病毒驱动伪装成intel快速启动技术的驱动，数字签名无效

liu237

ESET

liu237

小红伞也杀

swizzer

温馨小屋 发表于 2019-7-22 09:47
最爱rootkit了

22.07.2019 09.47.45;检测到的对象 ( 文件 ) 已删除;Z:%utf-8' 'OnlineInstaller\O ...

支持一个~我用急救箱重启了两次才杀掉。。。

温馨小屋

swizzer 发表于 2019-7-22 09:57
支持一个~我用急救箱重启了两次才杀掉。。。

我都怀疑是不是驱动没加载，pch没看出任何痕迹就被卡巴干掉了

Jerry.Lin

GD

1. 
   
2. 对象：: OnlineInstaller.exe
   
3.         路径：: C:\Users\zhong.000\Downloads\Compressed\卡饭\OnlineInstaller
   
4.         状态：: 发现病毒
   
5.         病毒：: Gen:Variant.Mikey.80790
   

复制代码

swizzer

温馨小屋 发表于 2019-7-22 10:01
我都怀疑是不是驱动没加载，pch没看出任何痕迹就被卡巴干掉了

这个rootkit防护做的估计不太好。。。我手杀时能直接恢复它的钩子而不蓝屏。。。

swizzer

温馨小屋 发表于 2019-7-22 10:01
我都怀疑是不是驱动没加载，pch没看出任何痕迹就被卡巴干掉了

我记得在我这它还会加载一个 FsWriteBack.sys