染毒环境清除测试第二期---另一个来自2018年的高对抗性Rootkit

显示全部楼层 · 发表于 2021-7-4 23:37:55

ANY.LNK 发表于 2021-7-4 20:00
内核dump一下？exe可能也需要从内存里提取，exe和两个sys的存放目录是在System32下的随机名文件夹内，受r ...

有一个小众杀软扫描出来一个EXE文件，不知道是不是样本的那个exe。

显示全部楼层 · 发表于 2021-7-4 23:45:49

00006666 发表于 2021-7-4 23:37
有一个小众杀软扫描出来一个EXE文件，不知道是不是样本的那个exe。

好像不是，exe是存储在System32里面一个随机名文件夹里的，不是直接存储在System32目录下，不过也不排除是样本的可能性（毕竟是rootkit，可以隐藏文件），可以看看有没有相关进程，能否直接删除这个exe。或者让杀软把相关文件隔离，测完后把文件发上来让我们看一下

显示全部楼层 · 发表于 2021-7-5 00:08:01

ANY.LNK 发表于 2021-7-4 23:45
好像不是，exe是存储在System32里面一个随机名文件夹里的，不是直接存储在System32目录下，不过也不排除 ...

那个exe可以手动删除，应该是误报的。

显示全部楼层 · 发表于 2021-7-5 07:41:25

楼主请不要放缩略图啊……

显示全部楼层 · 发表于 2021-7-5 07:49:05

wwwab 发表于 2021-7-5 07:41
楼主请不要放缩略图啊……

只有ARK的那两张截图是缩略图，其他的都是原始截图……

显示全部楼层 · 发表于 2021-7-5 07:49:34

00006666 发表于 2021-7-5 07:49
只有ARK的那两张截图是缩略图，其他的都是原始截图……

就是那几张，看得我难受死了

显示全部楼层 · 发表于 2021-7-5 07:51:38

话说那个tmp是啥（也许真有问题），咋各个杀软都报啊

显示全部楼层 · 发表于 2021-7-5 07:52:52

wwwab 发表于 2021-7-5 07:51
话说那个tmp是啥（也许真有问题），咋各个杀软都报啊

那个TMP文件应该是样本的衍生物。

显示全部楼层 · 发表于 2021-7-5 08:14:17

wwwab 发表于 2021-7-5 07:49
就是那几张，看得我难受死了

已经把那两张缩略图更换为原始截图。

显示全部楼层 · 发表于 2021-7-5 08:47:37

还是看不见有bd的测试，哈哈

[分享] 染毒环境清除测试第二期---另一个来自2018年的高对抗性Rootkit