染毒环境清除测试---2021年的杀软能成功清除2018年版本的Rootkit吗？

神龟Turmi

a27573 发表于 2021-7-5 11:48
确实诡异
所以时间戳是可选的吗？

是可选的 但是如果没有时间戳 就和SSL一样 证书过期时失效

a27573

神龟Turmi 发表于 2021-7-5 12:42
是可选的 但是如果没有时间戳 就和SSL一样 证书过期时失效

所以是因为证书本身是2015年以前的吗？

神龟Turmi

a27573 发表于 2021-7-5 12:51
所以是因为证书本身是2015年以前的吗？

这个我还真不清楚 晚点我找digicert的人问问

ANY.LNK

a27573 发表于 2021-7-5 10:51
据 wowocock 大佬说，启用了 SECURE BOOT 只是对自动启动 BOOT 驱动严格要求，手动加载驱动貌似没有这个 ...

好像不单是VMP与DG不兼容的原因吧，也有可能与此驱动无效的证书有关。DG会阻止不信任的代码或驱动进入内核（KMCI保护）

ANY.LNK

a27573 发表于 2021-7-5 10:54
没有时间戳

可能不是时间戳的问题，这个驱动显示签名的有效期是2012-2013年，可能系统是根据这个来判断的

ANY.LNK

青山永恒 发表于 2021-7-5 12:49
这个样本的证书已经吊销，无时间戳 ，无whql，一样可以在开安全启动的win10上面加载……

processhacker的驱动（不带微软WHQL证书）甚至能在开DG内核隔离+secureboot的情况下加载，不过这种情况下读Secure System只能读取到2个dll。（Secure System是不是就是DG开启的表现？是不是受信任的带WHQL的驱动都在Secure System里面？）

trumping

救命稻草 发表于 2021-6-30 09:33
你前后说的的没错，但中间的是不可以

不会吧 esm都是可以深度改变win7的恐怖软件

ELOHIM

ANY.LNK 发表于 2021-7-3 22:03
现在使用Defender进行快速扫描，立刻就发现了恶意驱动，点击执行操作，触发了强制关机。重新打开电脑，驱动 ...

使用此策略设置，可以根据提前启动反恶意软件引导启动驱动程序所确定的分类来指定要初始化哪些引导启动驱动程序。提前启动反恶意软件引导启动驱动程序可为每个引导启动驱动程序返回以下分类:
-  好: 驱动程序已签名且未被篡改。
-  差: 驱动程序被标识为恶意软件。建议不允许已知的差驱动程序初始化。
-  差，但启动需要: 驱动程序被标识为恶意软件，但不加载此驱动程序计算机就无法成功启动。
-  未知: 驱动程序未经恶意软件检测应用程序证明，且未经提前启动反恶意软件引导启动驱动程序分类。

如果启用此策略设置，则将能够选择下次计算机启动时要初始化的引导启动驱动程序。

如果禁用或未配置此策略设置，则将初始化被确定为“好”、“未知”或“差，但启动关键”的引导启动驱动程序，而跳过初始化被确定为“差”的驱动程序。

如果恶意软件检测应用程序不包括提前启动反恶意软件引导启动驱动程序，或者提前启动反恶意软件引导启动驱动程序已禁用，则此设置无效，所有引导启动驱动程序都会被初始化。

大佬，ELAM是指的这个吗？

ANY.LNK

ELOHIM 发表于 2021-7-8 21:02
大佬，ELAM是指的这个吗？

是的，用组策略的配置

a2120258

测试一下微点主动防御对付这个病毒的效果！