染毒环境清除测试---2021年的杀软能成功清除2018年版本的Rootkit吗？

显示全部楼层 · 发表于 2021-7-4 09:07:01

分析的很详实，感谢

显示全部楼层 · 发表于 2021-7-4 10:33:41

所以说，最了解流氓套路的还得是资深老流氓。
360你可以的！

显示全部楼层 · 发表于 2021-7-5 10:42:32

a27573 发表于 2021-7-1 21:50
还有前面@青山永恒的说法

请教一下：

因为那个时间戳是伪造的
正确的时间戳存在的意义就是防止你说的“把系统时间调到吊销前再签署”
至于为什么随便伪造一个时间戳windows都认因为微软SB呗 23333
所以前面我就说了绝对不要关闭secureboot

显示全部楼层 · 发表于 2021-7-5 10:44:48

tdsskiller 发表于 2021-7-2 22:59
楼主可以测试一下这个rootkit，强度也是有点大的，吊打tdsskiller和windows清理助手

体验一下malw ...

想请问下文件为什么无法解压

显示全部楼层 · 发表于 2021-7-5 10:51:33

青山永恒发表于 2021-7-5 10:45
安全启动防不住这个驱动，前面已经有人测试了，开安全启动，这个驱动依然可以加载，开内核隔离后就不能加 ...

据 wowocock 大佬说，启用了 SECURE BOOT 只是对自动启动 BOOT 驱动严格要求，手动加载驱动貌似没有这个限制
开了DG就加载不了应该是因为VMP和DG不兼容

显示全部楼层 · 发表于 2021-7-5 10:52:27

本帖最后由神龟Turmi 于 2021-7-5 10:53 编辑

青山永恒发表于 2021-7-5 10:45
安全启动防不住这个驱动，前面已经有人测试了，开安全启动，这个驱动依然可以加载，开内核隔离后就不能加 ...

这还是时间戳的问题
因为它伪造了签名日期，并且签的是SHA1的签名
这种情况下只要时间戳早于2015.8则不需要WHQL也可以在SecureBoot下加载
这个问题的唯一解决办法是手动删除全部SHA1根的信任
因为windows没有任何机制来分辨时间戳是不是真实的
（不过我因为这么干了根本看不到它的签名，它的时间戳应该是早于2015.8？）

显示全部楼层 · 发表于 2021-7-5 10:54:42

神龟Turmi 发表于 2021-7-5 10:52
这还是时间戳的问题
因为它伪造了签名日期，并且签的是SHA1的签名
这种情况下只要时间戳早于2015.8则不 ...

没有时间戳

显示全部楼层 · 发表于 2021-7-5 10:55:30

a27573 发表于 2021-7-5 10:51
据 wowocock 大佬说，启用了 SECURE BOOT 只是对自动启动 BOOT 驱动严格要求，手动加载驱动貌似没有这个 ...

手动加载要看
对Kernel Mode的驱动有限制
对User Mode的驱动似乎是可以手动加载的
参照Netfilter（也是个被白利用的非常多的难兄难弟），他们的TDI没有签WHQL，但是WFP有WHQL
但是以上两者都可以在win10最新版+SecureBoot下被手动加载

显示全部楼层 · 发表于 2021-7-5 10:56:50

a27573 发表于 2021-7-5 10:54
没有时间戳

这个就有点诡异了

显示全部楼层 · 发表于 2021-7-5 11:48:18

神龟Turmi 发表于 2021-7-5 10:56
这个就有点诡异了

确实诡异
所以时间戳是可选的吗？

[分享] 染毒环境清除测试---2021年的杀软能成功清除2018年版本的Rootkit吗？

评分

本帖子中包含更多资源

本帖子中包含更多资源