驱动木马x2

显示全部楼层 · 发表于 2019-10-21 10:48:17

落华无痕发表于 2019-10-21 10:35
奇怪，我早上虚拟机里测试，急救箱重启扫描了几次都切换不了红色的强力模式（一直蓝色）。也是那个网址下 ...

有可能，因为上面有人测试会提示用PE查杀，急救箱内部检测，当急救箱所有驱动都无法加载的时候，才会有这个提示。而且我们也发现有不少木马驱动，在进入系统以后会禁止任何360签名驱动加载。导致我们的驱动一个也起不来，所以才会提示进PE查杀的提示。由于现在很多国内驱动只有我们能完美查杀，导致木马作者疯狂封杀。所以才进有PE查杀的提示。由于木马作者无视其他安全软件，所以可以用其他安全软件试试，当然既然别人敢无视，所以可能效果不好。

显示全部楼层 · 发表于 2019-10-21 11:05:57

wowocock 发表于 2019-10-21 10:48
有可能，因为上面有人测试会提示用PE查杀，急救箱内部检测，当急救箱所有驱动都无法加载的时候，才会有这 ...

对，我早上也是，扫描开始没多久就提示用PE查杀。
刚才重新下载遍测试，扫描没多久就发现木马，然后提示重启。重启后病毒驱动导致蓝屏，再重启手动打开急救箱就是红色强力模式了，可以成功查杀了。

显示全部楼层 · 发表于 2019-10-21 12:28:04

瑞星31.1021.0002 Miss，上报人工

显示全部楼层 · 发表于 2019-10-21 22:03:17

本帖最后由 zay365 于 2019-10-21 23:42 编辑

我当时也觉得奇怪，急救箱遇到驱动病毒不是要杀两次的吗，第一次蓝色的强力模式移除了驱动服务后立即重启，第二次红色的移除文件。但我试的时候只经历了蓝色的强力模式，没能成功移除。
看了下我的是9-23版的，安全卫士里的也是这样
有10-16和10-18版的，10-16版的会提示进入PE查杀，但能成功杀掉，10-18版的能正常杀掉（我试了几次有一次遇到了蓝屏的现象）。但第一次扫描后重启没有自动打开急救箱，还要自己手动打开
@wowocock 吐槽一下为什么不同日期发布的版本号都是5.1.64.1240，而且急救箱打开时不是会检测更新的吗？我当时打开官网一看版本号一样就以为是最新版的，而且打开时也没有自动更新。
说实话我不知道这样在安全卫士里内置急救箱有什么意义，还不如像火绒一样点击时打开下载页面呢，或者可以把急救箱安装到C:\Program Files (x86)\360\下而不是C:\Program Files (x86)\360\360Safe\下

显示全部楼层 · 发表于 2019-10-22 10:33:10

zay365 发表于 2019-10-21 22:03
我当时也觉得奇怪，急救箱遇到驱动病毒不是要杀两次的吗，第一次蓝色的强力模式移除了驱动服务后立即重启， ...

卫士内带的可能比官网单独下载的要旧些，甚至单独下载的更新后，也会比官网当场下载的会旧些。主要是考虑到稳定和兼容性，官网当场下载的会是最新版本，一般一星期左右，没有明显的蓝屏，崩溃反馈，才会同步到其他版本中。所以会有一个延迟。你看的版本是主程序的版本，但其实还有很多其他模块更新，所以还是有差别的，所以一般建议用官网最新下载版本查杀。当然基本上99%的查杀新老版本基本一样。但有些新木马可能会有些差异。

显示全部楼层 · 发表于 2019-10-22 12:44:13

本帖最后由 zay365 于 2019-10-24 00:29 编辑

???火绒官人说这不是病毒
http://bbs.huorong.cn/thread-63124-1-1.html
后续：现已重新确认为病毒

显示全部楼层 · 发表于 2019-10-30 21:43:09

http://bbs.huorong.cn/thread-63388-1-1.html
火绒论坛一人中了这个

【1】2019-10-30 21:20:54,病毒防护,文件实时监控,发现病毒Trojan/Generic!3EA97EED635FC60E, 已处理
操作进程：System
病毒路径：C:\WINDOWS\temp\winaudio64.dll
病毒名称：Trojan/Generic!3EA97EED635FC60E
病毒ID：3EA97EED635FC60E
操作结果：已处理

复制代码

显示全部楼层 · 发表于 2019-10-30 23:27:32

zay365 发表于 2019-10-30 21:43
http://bbs.huorong.cn/thread-63388-1-1.html
火绒论坛一人中了这个

你是天天盯着吗

显示全部楼层 · 发表于 2019-10-31 10:13:47

54ss 发表于 2019-10-30 23:27
你是天天盯着吗

没，正巧一打开火绒论坛就看到了这个帖子

显示全部楼层 · 发表于 2019-10-31 22:45:07

本帖最后由 lifan88 于 2019-10-31 22:48 编辑

zay365 发表于 2019-10-31 10:13
没，正巧一打开火绒论坛就看到了这个帖子

这种东西对付萌新还是不行啊。。一下就被发现了

当年zeroaccess（2011）这玩意也是内核中下载文件，而且都在那个畸形设备的文件夹中，全程都是无视监控的。。

在XP下测试了火绒剑对ZEROACCESS的动作记录，ZEROACCESS应该是挂了什么钩子屏蔽了火绒剑，ZEROACCESS加载感染的畸形驱动后打开了SCSI很奇怪的设备之后，火绒剑再也看不到任何动作了。。。

[病毒样本] 驱动木马x2

本帖子中包含更多资源

本帖子中包含更多资源