疑似包含Rootkit的吃鸡辅助

zay365

lifan88 发表于 2020-2-5 16:55
没有驱动，请楼主提取出来

网吧版的那个map有的工具/平台认为是加了vmp壳的win64驱动

lifan88

zay365 发表于 2020-2-5 16:58
网吧版的那个map有的工具/平台认为是加了vmp壳的win64驱动

动态运行分析，有steam激活的情况下是这样的：
放一个1.dll在temp目录下，没有明显动作很像。还有另外一个hsec.dll在windows下，使用rundll32加载，加载命令行为Init，联网，一直在读注册表，也读到了一个不存在的aliim.exe（百度是淘宝/阿里旺旺的玩意），把我所有的驱动都读了一遍，特别是ntoskrnl/hal/win32k（r3下内核0day常见动作），应该只是检查了我的驱动加载情况，然后有一个消息钩子，导致每一次键盘输入东西时都会往temp/troy.tmp里写东西，无限触发hips

www-tekeze

www-tekeze 发表于 2020-2-5 16:17
两个版本主程序MD5相同，智量Heur清空！火绒不报，有空双击。。

双击，首先写个配置文件到自身目录，放行后被智量内存防护杀！
退出智量双击，没发现什么问题，也不会联网。。  但没登录Steam

www-tekeze

zay365 发表于 2020-2-5 16:58
网吧版的那个map有的工具/平台认为是加了vmp壳的win64驱动

如果加服务或驱动火绒会拦截，没见到哎，需要先登录Steam 。。

lifan88

www-tekeze 发表于 2020-2-5 17:27
如果加服务或驱动火绒会拦截，没见到哎，需要先登录Steam 。。

没有hips和逆向你根本不知道细节（然而我不会逆向）。。。

最后那个写入troy.tmp是我键入ctrl+alt切出虚拟机时就触发了

www-tekeze

lifan88 发表于 2020-2-5 17:47
没有hips和逆向你根本不知道细节（然而我不会逆向）。。。

最后那个写入troy.tmp是我键入ctrl+alt切出 ...

我更不会，等官人来研究。。。不过外{过}{滤}挂有某些骚操作很正常吧。。