染毒环境清除测试---2021年的杀软能成功清除2018年版本的Rootkit吗？

ANY.LNK

tdsskiller 发表于 2021-7-4 00:32
错，正常干净系统除了hyperV和MRT驱动你不会看到随机名驱动

除非你的测试机器和一个正常机器一样，N个 ...

这样的也算不是随机名驱动吗？raspppoe.sys raspptp.sys dxgmms2.sys e1i65x64.sys这几个都是正常驱动啊

00006666

tdsskiller 发表于 2021-7-4 00:37
再用360急救箱扫两次

我发出来的那个pyark的图片，是在还没有运行360急救箱之前的，360急救箱查杀后的我刚忘记看，只看了PCH可以正常工作，就恢复快照了……

tdsskiller

ANY.LNK 发表于 2021-7-4 00:40
这样的也算不是随机名驱动吗？raspppoe.sys raspptp.sys dxgmms2.sys e1i65x64.sys这几个都是正常驱动啊

完全随机，几乎没有意义那种

tdsskiller

00006666 发表于 2021-7-4 00:40
我发出来的那个pyark的图片，是在还没有运行360急救箱之前的，360急救箱查杀后的我刚忘记看，只看了PCH可 ...

注意看我的补充别把急救箱误判了

00006666

tdsskiller 发表于 2021-7-4 00:42
完全随机，几乎没有意义那种

pyark那个检查所有数字签名的功能似乎可以帮助识别样本驱动，你说的那个几个驱动都是检查后高亮的，说明签名异常。

tdsskiller

00006666 发表于 2021-7-4 00:44
pyark那个检查所有数字签名的功能似乎可以帮助识别样本驱动，你说的那个几个驱动都是检查后高亮的，说明 ...

不劫持系统驱动做表面功夫，一下就露馅；就算劫持也过不了内核内存dump检测（阴间劫持除外，阴间劫持到现在只有挂逼才有）
不隐藏模块总会被简单ARK发现，仔细扫一扫还是能扫出来的
就算是隐藏模块，也能找出来，但是极其麻烦，而且隐藏模块你确定不了人家是执行中自动卸载后灵魂转移了还是真隐藏。。。
当然阴间劫持加上隐藏模块或者灵魂转移类的，只能祈祷人家放过
阴间劫持典范：
A例子：


B例子：
https://bbs.pediy.com/thread-230129.htm

ANY.LNK

tdsskiller 发表于 2021-7-4 00:37
不是的，这个完全随机名，只要有新主页保安--变速大师才是系统驱动加字母。。。

我这边运行完那个Malwarebytes捆绑后驱动里多出来的随机名驱动的确是以pci打头的，每次被MD杀完复生后就改后四位，这可能与杀软的查杀有关。这个名称为pci打头的驱动干掉后就不再有其他驱动加载了，现在再查系统内核也只剩下微软的驱动、火绒剑的驱动、vm的驱动和英特尔的驱动了（同款pyark查的）PS：没有恢复虚拟机快照

ANY.LNK

tdsskiller 发表于 2021-7-4 00:53
不劫持系统驱动做表面功夫，一下就露馅；就算劫持也过不了内核内存dump检测（阴间劫持除外，阴间劫持到现 ...

这些阴间劫持，有样本吗？看雪的那个提供了样本，但是我下不了

tdsskiller

ANY.LNK 发表于 2021-7-4 01:10
这些阴间劫持，有样本吗？看雪的那个提供了样本，但是我下不了

都是挂，属于rootkit从自动变半自动和手动，也抛弃了持久化，论查杀已经没有意义了

你可以看成一个反外{过}{滤}挂专杀

ANY.LNK

tdsskiller 发表于 2021-7-4 01:28
都是挂，属于rootkit从自动变半自动和手动，也抛弃了持久化，论查杀已经没有意义了

你可以看成一个反 ...

编辑掉，这应该由反外{过}{滤}挂游戏厂商处理