染毒环境清除测试第二期---另一个来自2018年的高对抗性Rootkit

显示全部楼层 · 发表于 2021-7-4 19:19:03

00006666 发表于 2021-7-4 19:16
KVRT和其他的几个成功的杀软都是清除了主驱动，该样本只有一个是主驱动，清除主驱动后，样本实际上是停止 ...

这倒确实，没有危害就行了。
ESET安装失败，那ESET Online Scanner呢？
https://download.eset.com/com/es ... etonlinescanner.exe

显示全部楼层 · 发表于 2021-7-4 19:24:06

我能把之前我测试的Defender结果转到此贴来吗？

显示全部楼层 · 发表于 2021-7-4 19:26:16

能把本次测试用到的exe和3个驱动提取出来发我一下吗？我比对一下我本地的文件

显示全部楼层 · 发表于 2021-7-4 19:39:52

a27573 发表于 2021-7-4 19:14
KVRT扫完之后有没有剩下那两个东西？
那两个东西KVRT应该扫不出来。
但其他组件被杀之后应该就不会加载 ...

System32目录下的那个exe和两个sys估计都改了文件头，但其中一个的内部特征刚好撞上了MD的病毒库特征码被杀了。

显示全部楼层 · 发表于 2021-7-4 19:42:26

ANY.LNK 发表于 2021-7-4 19:26
能把本次测试用到的exe和3个驱动提取出来发我一下吗？我比对一下我本地的文件

想问一下要怎么提取，我尝试了下，提取失败了......

样本的那个exe我还不确定具体是哪个。

显示全部楼层 · 发表于 2021-7-4 20:00:34

本帖最后由 ANY.LNK 于 2021-7-4 23:36 编辑

00006666 发表于 2021-7-4 19:42
想问一下要怎么提取，我尝试了下，提取失败了...... 样本的那个exe我还不确定具体是哪 ...

内核dump一下？exe可能也需要从内存里提取，exe和两个sys的存放目录是在System32下的随机名文件夹内，受rootkit保护，直接访问会被拒绝，而且里面的文件都换了文件头，和内存里实际执行的文件不完全一样。下面图片里的文件夹就是我这次测试时exe和sys存储的文件夹，上面那个pwounca是上一次测同一个样本时留下来的。在清除rootkit后，这个文件夹就能直接打开看到里面的文件了

显示全部楼层 · 发表于 2021-7-4 20:26:12

本帖最后由 ANY.LNK 于 2021-7-4 22:13 编辑

Microsoft Defender正常测试：
安装完rootkit重启后，快速扫描发现drivers目录下的母体驱动，提示重启，重启完后驱动被隔离，再次扫描复生。
尝试使用脱机版，脱机版成功发现威胁并清除，重启，驱动未复生。全盘扫描再次发现2个威胁，一个tmp，一个sys，清除后系统无异常。TDSSKiller可正常扫描，pchunter可正常打开主页面

显示全部楼层 · 发表于 2021-7-4 20:56:29

大蜘蛛试一下

显示全部楼层 · 发表于 2021-7-4 20:59:36

00006666 发表于 2021-7-4 19:42
想问一下要怎么提取，我尝试了下，提取失败了...... 样本的那个exe我还不确定具体是哪 ...

你可以试试KVRT隔离之后“恢复到”放进另一个文件夹里

显示全部楼层 · 发表于 2021-7-4 22:02:41

本帖最后由 ANY.LNK 于 2021-7-4 22:05 编辑

Microsoft Defender（ELAM级别开最高）测试：
安装完rootkit后重启，可以看到3个驱动都已加载
此时扫描测试，发现的reg和上次的不一样，驱动也变了，这里纠正我之前的一个错误，母体驱动是完全随机名的，不是pci<xxxx>.sys。在本次测试中处理威胁时出现了系统异常关机重启，母体驱动名无变化，可确定之前母体驱动是被删除后又被其它驱动关机回写所复生。先处理reg会导致系统蓝屏重启，仅处理母体驱动会被另外的驱动回写复生，并导致两个驱动在下一次重启后更名再加载

这些驱动互相保护。本次测试同样出现了驱动被清除后复生的情况，因此使用和普通ELAM的方法一样使用脱机版扫描清除
PS：母体驱动和换过文件头的驱动加载的非常早，甚至在微软的WdFilter.sys之前

[分享] 染毒环境清除测试第二期---另一个来自2018年的高对抗性Rootkit

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源