看装在C盘的杀软，运行样本并重启后有几个杀软目录是删不了的。另外这算不算漏洞？

落华无痕

样本作用范围：
1.杀软装在C盘系统盘。
2.有D盘分区。
3.vista及以上系统。



管理员身份运行样本，执行后重启系统。重启后看能否删除D盘的杀软文件夹（即原C盘）。能删，代表杀软防御失败。

再次运行样本并重启，可以恢复原样。

已知执行样本重启后，删除杀软目录操作对火绒无效，因为火绒使用dos路径来保护自身文件夹（如“\Device\HarddiskVolume1”）。

补充：
还可以尝试在第一次重启后，运行个病毒看杀软能否拦截。

感觉很多人没意识到这问题的严重性。

每个人电脑或多或少有一个C盘路径的Run启动项（如杀软的）。假设某个程序枚举这些Run启动项，找到一个C盘路径的，在D盘相同路径创建个同名的病毒程序（这个病毒程序可以是加密过的，开机启动时才解密运行）。这时候病毒还不能开机启动，但通过本帖样本调换C和D盘符后，病毒程序就变成了开机启动（而杀软可能并不知道启动项已改变），重启后杀软挂了而病毒开始运行了，那么后果。。。

落华无痕

没几个人发测试结果，我来发几个。
测试软件：360卫士、腾讯电脑管家、火绒、大蜘蛛安全空间、avast免费版、卡巴免费版、金山毒霸、智量
测试条件：安装软件后重启一遍系统，运行样本交换盘符，再重启删除杀软目录，并双击感染型病毒。
测试样本：常见的synaptics.exe蠕虫
懒人结果：
拦截盘符交换：0
拦截删除目录：火绒、大蜘蛛安全空间、卡巴免费版
拦截感染病毒：0

360：
未拦截盘符交换，失败


交换盘符后重启，成功删除杀软目录，失败




重启后运行病毒，病毒成功感染，失败




火绒：
未拦截盘符交换，失败




交换盘符后重启，杀软目录无法删除，防御成功




重启后运行病毒，病毒成功感染，失败




电脑管家：
未拦截盘符交换，失败




交换盘符后重启，成功删除杀软目录，失败





重启后运行病毒，病毒成功感染，失败






大蜘蛛安全空间，失败，成功，失败







avast免费版，失败，失败，失败







卡巴免费版，失败，成功，失败






金山毒霸，失败，失败，失败
PS:避免毒霸云拉黑，改了样本hash。虽然运行样本后交换了盘符，但第一次重启卡在注销界面，强制关机重启后盘符恢复原样，不知道什么原因。但我后续又运行了一次样本，这回正常重启并且毒霸防御失败。






智量，失败，失败，失败

川建国代理人

智量V2.66扫描Miss，桌面监控Miss

静影沉璧

Win 10 19041

BD free

只能删掉Agent，没Agent估计BD也跑不起来

心醉咖啡

毒霸扫描miss

落华无痕

静影沉璧 发表于 2020-8-7 22:49
Win 10 19041

BD free

在这种状态下运行个病毒，你说bd能不能拦截？

sentews2

改下权限是不是可以删

OVS

卡巴扫描miss  已上报

落华无痕

sentews2 发表于 2020-8-8 04:35
改下权限是不是可以删

如果你已经是管理员账户，那提示需要管理员组Administrators权限才能删除的文件，一般是受驱动保护。系统不会告诉你某某文件被驱动阻止删除，只会告诉你权限不足。

sentews2

落华无痕 发表于 2020-8-8 09:02
如果你已经是管理员账户，那提示需要管理员组Administrators权限才能删除的文件，一般是受驱动保护。系统 ...

想想安全模式，删除驱动这些情况，一般在system32\drivers看啊可能有无可以，管理员权限用takewon和icacls指令试试

sentews2

https://www.virustotal.com/gui/f ... 6934183aa/detection
vt1个