【主页保安团队新作品/Rootkit】假劫持急救箱驱动，TDSSKiller安排器

BE_HC

盒子 好像跑不起来 全部静态检出
有两个域名，怀疑都是同一程序

1. http://bsds.cn       
   
2. 
   
3. http://yxswz.cn

复制代码

K560987

关键行为
行为描述：        直接调用系统关键API
详情信息：       
Index = 0x0000009A, Name: NtQueryInformationProcess, Instruction Address = 0x01B0D65E

Index = 0x000000E5, Name: NtSetInformationThread, Instruction Address = 0x019EEEDB

Index = 0x00000089, Name: NtProtectVirtualMemory, Instruction Address = 0x01AC7193

行为描述：        直接获取CPU时钟
详情信息：       
EAX = 0x718a34dc, EDX = 0x000000bb

EAX = 0x718a3528, EDX = 0x000000bb

EAX = 0x743d34a4, EDX = 0x000000bb

EAX = 0x743d34f0, EDX = 0x000000bb

静影沉璧

ESET

Installer1.1282\yz.dat->a variant of Win32/Packed.BlackMoon.A


双击了一个……

pal家族

lifan88 发表于 2020-3-9 17:25
出现了，专杀tdsskiller的男人
爆火预定@wowocock

tdsskiller加强模式不知道行不行
-freboot

饭@avast

咖啡杀两个

lifan88

pal家族 发表于 2020-3-9 18:17
tdsskiller加强模式不知道行不行
-freboot

虚拟机试试

wowocock

老驱动了，重启后重定向到ACPI.SYS 。急救箱启动自动进入强力模式扫描，扫描后，重启，然后载扫描一遍轻松处理。

BE_HC

WIN7 X86双击
GMER加载不能

1. 2020/3/9 18:11:15    创建注册表项    允许
   
2. 进程: d:\bsds.cn\bsds.exe
   
3. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\b57nd60xs
   
4. 规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
   
5. 
   
6. 2020/3/9 18:11:24    创建文件    允许
   
7. 进程: d:\bsds.cn\bsds.exe
   
8. 目标: C:\Windows\system32\drivers\b57nd60xs.sys
   
9. 规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys
   
10. 
    
11. 2020/3/9 18:11:27    安装驱动程序或服务    允许
    
12. 进程: d:\bsds.cn\bsds.exe
    
13. 目标: system32\drivers\b57nd60xs.sys
    
14. 规则: [应用程序]*
    
15. 
    
16. 2020/3/9 18:11:36    修改注册表值    允许
    
17. 进程: c:\windows\system32\services.exe
    
18. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\b57nd60xs\Start
    
19. 值: 0x00000000(0)
    
20. 规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; Start
    
21. 
    
22. 2020/3/9 18:11:39    修改注册表值    允许
    
23. 进程: c:\windows\system32\services.exe
    
24. 目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\b57nd60xs\ImagePath
    
25. 值: system32\drivers\b57nd60xs.sys
    
26. 规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath
    
27. 
    
28. 2020/3/9 18:11:41    加载驱动程序    允许
    
29. 进程: c:\windows\system32\services.exe
    
30. 目标: c:\windows\system32\drivers\b57nd60xs.sys
    
31. 规则: [应用程序]c:\windows\system32\services.exe
    
32. 
    

复制代码

BE_HC

pal家族 发表于 2020-3-9 18:17
tdsskiller加强模式不知道行不行
-freboot

好像8行？

pal家族

BE_HC 发表于 2020-3-9 18:30
好像8行？

重启之后载驱动了也不行啊

西伯利亚绿熊惨遭NTR