再来后门1x

SB_

智量报毒

智量官方

swizzer 发表于 2020-12-5 19:46
智量
右键点击挡屏后：

该软件确实有键盘记录的行为，你API MONITOR没设置对吧，请监控SetWindowsHookExA

hsks

这。。。

swizzer

wwwab 发表于 2020-12-6 08:55
沙箱都已经检测到挂载钩子行为了……

我勾选的那一项里包含了这个API，但是就是没监控到···

我可能要排查下我的API Monitor了···

swizzer

智量官方 发表于 2020-12-6 16:49
该软件确实有键盘记录的行为，你API MONITOR没设置对吧，请监控SetWindowsHookExA

您好，可参见34楼

可能我这里API Monitor工作不正常···

a27573

swizzer 发表于 2020-12-6 22:32
我勾选的那一项里包含了这个API，但是就是没监控到···

我可能要排查下我的API Monitor了 ...

API Monitor好久没更新了，可能有些问题
反正我上次在win10上逆一个程序，在x32dbg里明确看见调用了一个多媒体相关的API（具体忘了），但API Monitor就没监控到
不过也可能是我调试跑飞了或者程序检测了调试器做出了不同行为

swizzer

a27573 发表于 2020-12-6 22:54
API Monitor好久没更新了，可能有些问题
反正我上次在win10上逆一个程序，在x32dbg里明确看见调用了一个 ...

有可能···
确实我见到很多次因为API Monitor的存在而导致程序行为改变的情况了，不过那都是程序卡在一个死循环上，这次却并没有···
---------------------------------------------
不过我的实体机似乎被某个Rootkit 感染了···可能某一次被穿透了影子···

目前安全模式进入时会在登录界面出现时自动重启后进入正常系统，很多安全软件也无法正常工作虽然急救箱扫不出来，但PC Hunter下能看到一个诡异的内核线程

所以最近也测不了毒了

a27573

swizzer 发表于 2020-12-6 23:15
有可能···
确实我见到很多次因为API Monitor的存在而导致程序行为改变的情况了，不过那都是程 ...

我的电脑之前出现过陌生的驱动（带签名的旧版本CYUSB3），sc delete删掉后过一段时间又出现了
但PC Hunter在新系统上不能加驱
gmer点scan就直接蓝屏
BIOS管理员密码忘了，进不了PE
最后用其他比较弱的ARK（PT、Process Hacker）看了一下，又用急救箱和tdsskiller扫了一下没发现什么异常，就不管了
也许是某个软件附带的吧（也许是multisim？）

如果真是Rootkit，在HVCI开启的情况下，恐怕是利用了之前那些安全启动漏洞，那样的话在BIOS管理员密码忘了的情况下也没办法了

hsks

swizzer 发表于 2020-12-6 23:15
有可能···
确实我见到很多次因为API Monitor的存在而导致程序行为改变的情况了，不过那都是程 ...

360双击报的就是Rootkit（我当时实体机双击还以为是瞎报的，看不出有什么。。。）而且楼上说之前双击360没反应，这次应该是经过上报人工分析得出来的（可能吧，毕竟扫描未报）
但既然要关闭360，肯定不是好东西

狂欢...

hsks 发表于 2020-12-6 23:35
360双击报的就是Rootkit（我当时实体机双击还以为是瞎报的，看不出有什么。。。）而且楼上说之前双 ...

试了一下，安装国内版卫士时，该软件提示安装360卫士无法运行，360卫士提示Rookit，拦截运行。而安装国际版时，软件可以运行，提示拦截证书修改和注册表修改，而且没报这个Win32/Rookit，不是一朵云导致？360沙箱检测结果