【梦回起点/老rootkit】win10x64-1709劫持TCPIP.sys重定向TDI.sys的rootkit

显示全部楼层 · 发表于 2020-2-20 23:20:54

本帖最后由 lifan88 于 2020-2-20 23:20 编辑

和我中的rootkit基本一样，但劫持和重定向文件不同，想当年那玩意能在火绒和360眼皮底下活1年，没错，加载后就是这么任性，平时没有明显动作没有开专杀也没有开强力模式，直到一年后用PCH检查自己的机子的时候。。。详见我的受害记录：https://bbs.kafan.cn/thread-2154141-1-1.html
当年的加载驱动时间我已经找到了，系统事件查看器大法好：

基本已经入库，2018年的玩意，扫描党随便了，反正加载后才有威力，没入库自己打脸去。强烈欢迎来手杀，请大家大力鞭尸，替我出气

（可以用简单挂的rootkit，重启就把这个rootkit秒了

）

一共三个变种：
A：

B:

C：

PS：64位驱动

显示全部楼层 · 发表于 2020-2-20 23:26:17

测试

显示全部楼层 · 发表于 2020-2-21 17:04:21

扫一下吧，加载就算了。。。火绒报Rootkit，智量入库杀！(恢复虚拟机快照看过，原来就入库了)

显示全部楼层 · 发表于 2020-2-21 17:08:33

进安全模式呗？

显示全部楼层 · 发表于 2020-2-21 17:20:19

Fire_Wind 发表于 2020-2-21 17:08
进安全模式呗？

boot型驱动进安全模式也会加载的

显示全部楼层 · 发表于 2020-2-21 17:24:50

Avast

显示全部楼层 · 发表于 2020-2-21 17:26:24

zay365 发表于 2020-2-21 17:20
boot型驱动进安全模式也会加载的

噢，原来是这样呀

显示全部楼层 · 发表于 2020-2-21 19:01:04

莫非就是我的善意提醒的那个?

显示全部楼层 · 发表于 2020-2-23 10:34:25

卡巴成功清除，这个驱动居然就在原位，资源管理器可以看到，但是无法删除

显示全部楼层 · 发表于 2020-2-23 10:45:23

BD 加载前可以杀，加载后扫不出来，此驱动的属性全部被替换为TCP_IP.sys

[病毒样本] 【梦回起点/老rootkit】win10x64-1709劫持TCPIP.sys重定向TDI.sys的rootkit

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源