【主页保安团队新作品/Rootkit】假劫持急救箱驱动，TDSSKiller安排器

显示全部楼层 · 发表于 2020-3-9 17:19:41

本帖最后由 zay365 于 2020-3-9 23:12 编辑

变速大师，官网http://www.bsds.cn/
在安装了那个组件后重启前会把驱动重定向到FsWriteBack64.sys，旧版是dump.sys，而且在对象劫持里看不到
和主页保安一样如大佬所说内核保护极其猥琐、变态、丧心病狂
会封锁ntos，storport等等驱动的读取和访问，tdsskiller直接废了，检查不了所有驱动，扫描立即结束
没有劫持主页行为了，而且插件可以在软件中卸载了，不像之前主页保安的卸载/解除是假的，无论怎么试都是失败
有可能在被腾讯曝光后收敛了吧，转行了
但也不排除有作恶的行为，比如云控什么的，而且正如大肉鸡所说的有可能被木马利用
让工程师来分析下吧@wowocock @火绒工程师 @智量官方
https://www.lanzous.com/ia34ypg
https://www.lanzous.com/ia3504h
注意下这是自解压程序，要测试的是解压缩后的文件
你如果不放心不敢实机直接双击的话可以右键用自己电脑上的软件解压
其实上我也不太确定这个自解压包的安全性

显示全部楼层 · 发表于 2020-3-9 17:21:41

ESET MISS

显示全部楼层 · 发表于 2020-3-9 17:25:10

本帖最后由 lifan88 于 2020-3-9 17:30 编辑

出现了，专杀tdsskiller的男人

爆火预定@wowocock

显示全部楼层 · 发表于 2020-3-9 17:25:48

本帖最后由巍巍于 2020-3-9 17:36 编辑

BD kill Installer1.1282.exe(两个样本不一样的吗)
（但上次miss的主页保安已入库）根据楼下反映，官网下载链接会被拦截（补一张图）

显示全部楼层 · 发表于 2020-3-9 17:27:06

本帖最后由 www-tekeze 于 2020-3-9 17:30 编辑

绒智占楼。。。智量Heur清空，火绒Miss，有空双击。。

显示全部楼层 · 发表于 2020-3-9 17:27:55

双击，被实体机ESET拦截访问43.228.65.40的动作。。

防御成功

时间;URL;状态;应用程序;用户;IP 地址;SHA1
2020/3/9 17:26:48;http://43.228.65.40:14360;已由内部 IP 黑名单阻止;C:\Windows\SysWOW64\vmnat.exe;NT AUTHORITY\SYSTEM;43.228.65.40;7FF2B757E2E603B40CA1C50D4736C4FEB9B46E5D

显示全部楼层 · 发表于 2020-3-9 17:28:05

本帖最后由 LSPD 于 2020-3-9 17:37 编辑

Kaspersky scan miss
双击 (Installer)kill

显示全部楼层 · 发表于 2020-3-9 17:30:08

Avast Miss

显示全部楼层 · 发表于 2020-3-9 17:31:27

BD拦截官网上的下载链接
htt p://116.255.157.181:14360/download/xz.htm

显示全部楼层 · 发表于 2020-3-9 17:38:35

诺顿扫描杀

[可疑文件] 【主页保安团队新作品/Rootkit】假劫持急救箱驱动，TDSSKiller安排器

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块