MBR锁机

显示全部楼层 · 发表于 2019-12-7 15:06:28

www-tekeze 发表于 2019-12-7 15:01
懒得试了，主防不一定报，但写MBR时肯定被拦截！

写MBR时确实被拦截了，但无论阻止还是允许后虚拟机都会直接关闭，这个程序没有加驱，我不知道这是怎么做到的

显示全部楼层 · 发表于 2019-12-7 15:22:02

zay365 发表于 2019-12-7 15:06
写MBR时确实被拦截了，但无论阻止还是允许后虚拟机都会直接关闭，这个程序没有加驱，我不知道这是怎么做 ...

以前也遇到过，用结束进程，阻止不行。。。不懂code不清楚。。

显示全部楼层 · 发表于 2019-12-7 15:23:56

显示全部楼层 · 发表于 2019-12-7 15:37:39

本帖最后由 zay365 于 2019-12-7 15:43 编辑

www-tekeze 发表于 2019-12-7 15:22
以前也遇到过，用结束进程，阻止不行。。。不懂code不清楚。。

在AnyRun上运行直接瞬间结束了任务，什么行为都没检测到
哈勃和魔盾检测到是调用了一个系统API ntdll.dll.NtRaiseHardError关机的

行为描述：	关机或重启
详情信息：	NtRaiseHardError ErrorStatus = C000021A
行为描述：	修改硬盘引导扇区
详情信息：	NtWriteFile
行为描述：	直接调用系统关键API
详情信息：	Index = 0x000000B6, Name: NtRaiseHardError, Instruction Address = 0x004020F7

@火绒工程师主防能添加一个拦截这个的项目吗？

显示全部楼层 · 发表于 2019-12-7 15:41:17

zay365 发表于 2019-12-7 15:37
在AnyRun上运行直接瞬间结束了任务，什么行为都没检测到
哈勃和魔盾检测到是调用了一个系统API ntdll.dl ...

我刚试过，结束进程就关不了虚拟机。。。API你研究吧，俺不懂。。

显示全部楼层 · 发表于 2019-12-7 18:19:27

Emsisoft Anti-Malware

显示全部楼层 · 发表于 2019-12-8 03:34:21

pre 发表于 2019-12-7 11:41
ESET Miss，双击后击杀衍生物

看后面毛豆的弹窗这个好像是主体不是衍生物

显示全部楼层 · 发表于 2019-12-8 09:06:15

蓝天二号发表于 2019-12-7 13:58
歌德塔

双引擎报毒啊，我真想看歌德塔主动防御的威力好好奇

显示全部楼层 · 发表于 2019-12-8 13:56:39

MES：MultiDropper-TI

显示全部楼层 · 发表于 2019-12-9 11:02:11

没什么特色的，用我的工具PE下直接修复即可。https://bbs.kafan.cn/thread-2135185-1-1.html

[病毒样本] MBR锁机