【2020-？/Rootkit】火绒miss的无签名驱动

显示全部楼层 · 发表于 2021-2-18 14:51:45

这种查不查无所谓，因为肯定不是原始文件，可能是打包在某个其他驱动里，内存加载的。所以没意义。得找到外面那个壳。

显示全部楼层 · 发表于 2021-2-18 15:02:04

时空穿梭发表于 2021-2-16 23:43
微步：https://s.threatbook.cn/report/file/5311f9b77053aa95988147ceba8e51f2e91f4c64f353ce748a2691d911 ...

sys又没法直接运行，沙箱除了多引擎检测，也没别的啥东西了呀

显示全部楼层 · 发表于 2021-2-19 00:08:22

wowocock 发表于 2021-2-18 14:51
这种查不查无所谓，因为肯定不是原始文件，可能是打包在某个其他驱动里，内存加载的。所以没意义。得找到外 ...

这玩意看了relation，wind64干的

显示全部楼层 · 发表于 2021-2-19 00:36:23

wwwab 发表于 2021-2-18 15:02
sys又没法直接运行，沙箱除了多引擎检测，也没别的啥东西了呀

签个过期签名加载不就行了

显示全部楼层 · 发表于 2021-2-19 08:18:18

Yuki丶发表于 2021-2-19 00:36
签个过期签名加载不就行了

网上那些云沙箱会整才怪

显示全部楼层 · 发表于 2021-2-19 10:23:02

Yuki丶发表于 2021-2-19 00:36
签个过期签名加载不就行了

这种无签名驱动要么内存加载的，要么dse被干掉的，不会上签名的

显示全部楼层 · 发表于 2021-2-19 11:01:40

Trojan:Win32/Masson.A!rfn

[病毒样本] 【2020-？/Rootkit】火绒miss的无签名驱动