【主页保安团队新作品/Rootkit】假劫持急救箱驱动，TDSSKiller安排器

显示全部楼层 · 发表于 2020-3-9 19:28:28

emsi miss

显示全部楼层 · 发表于 2020-3-9 19:49:12

54ss 发表于 2020-3-9 17:31
BD拦截官网上的下载链接
htt p://116.255.157.181:14360/download/xz.htm

链接已经404了

显示全部楼层 · 发表于 2020-3-9 19:57:12

下载:https://www.lanzous.com/ia3c9ti 密码:7f7s

驱动也没几个报惹

显示全部楼层 · 发表于 2020-3-9 20:03:29

BE_HC 发表于 2020-3-9 19:57
下载:https://www.lanzous.com/ia3c9ti 密码:7f7s

驱动也没几个报惹

它释放的驱动有很多版本，你这个和我提取的和一个网友发现的几个都不一样

显示全部楼层 · 发表于 2020-3-9 22:24:07

www-tekeze 发表于 2020-3-9 17:27
绒智占楼。。。智量Heur清空，火绒Miss，有空双击。。

双击Installer，首先解压得到一个文件夹，双击里面的bsds.exe，瞬间被智量主防报DiskWriter，退出智量双击，一路确定，最后会联网、释放驱动、创建服务，看图。。

重启系统，首先上火绒专杀，发现3项威胁，处理后重启再扫还是3项。。。再次重启上TDSSKiller，3秒钟就完事 (被针对了吧)，无发现。。。再重启再扫还是无发现，但用火绒专杀扫仍然是3项。。。打不死的小强。。

显示全部楼层 · 发表于 2020-3-9 22:32:46

BE_HC 发表于 2020-3-9 18:46
NPE也一样，我看MD日记NPE疯狂想加载驱动

试着摘掉注册表，重启也8行

好壮观

显示全部楼层 · 发表于 2020-3-9 23:03:19

www-tekeze 发表于 2020-3-9 22:24
双击Installer，首先解压得到一个文件夹，双击里面的bsds.exe，瞬间被智量主防报DiskWriter，退出智量双 ...

双击Installer1.1282，也会自解压得到个文件夹，双击里面的dashiz.exe，一路确定，最后在注册界面想退出时动作来了，被智量主防杀！报ByPassUAC 。。

退出智量双击，当不想注册退出时会删除部分解压得到的文件，然后联网、释放驱动、创建服务等动作和前面那个一样一样的。。。重启后用火绒专杀扫还是3项，TDSSKiller还是被架空。。。图都一样，不截了。。

显示全部楼层 · 发表于 2020-3-9 23:09:27

www-tekeze 发表于 2020-3-9 23:03
双击Installer1.1282，也会自解压得到个文件夹，双击里面的dashiz.exe，一路确定，最后在注册界面想退出 ...

两个版本加的是同一驱动
专业版点登录区或设置里的安装还原插件就是加载驱动

显示全部楼层 · 发表于 2020-3-9 23:27:02

zay365 发表于 2020-3-9 23:09
两个版本加的是同一驱动
专业版点登录区或设置里的安装还原插件就是加载驱动

什么都不点直接关闭也一样，也就是说这个东西一旦解压开始安装就没回头路了。。

当然，用火绒阻止驱动落地或者阻止创建服务，还有救。。。第一个有出错界面让关闭杀软什么的，还推荐上急救箱。。

第二个专业版没出错提示会打开官网，但重启后用火绒专杀扫无发现。。

显示全部楼层 · 发表于 2020-3-9 23:48:10

zay365 发表于 2020-3-9 23:09
两个版本加的是同一驱动
专业版点登录区或设置里的安装还原插件就是加载驱动

明白了，直接退出会出来还原插件的安装提示，之前没仔细看，顺手点了是，如果选否还会有个退出界面，退出后智量主防没反应，火绒也没加驱那些弹窗。。。重启用火绒专杀试了，无发现，看来专业版还是有点良心。。

[可疑文件] 【主页保安团队新作品/Rootkit】假劫持急救箱驱动，TDSSKiller安排器