穿影子系统+MBRkiller（funny作者新作）

显示全部楼层 · 发表于 2021-9-26 08:52:46

Microsoft Edge无法安全下载

显示全部楼层 · 发表于 2021-9-26 09:06:59

谨慎乐观

显示全部楼层 · 发表于 2021-9-26 11:09:44

本帖最后由 wowocock 于 2021-9-26 11:27 编辑

能加载驱动了，理论上来说，都能穿还原了，恢复各种HOOK即可。

所以好点得还原要么禁止非白驱动加载，要么做内存保护，比如在线程，DPC,各种回调等CPU能调度到的地方加入内存保护，还有学习当年暗云的保护方法，一旦发现被还原5次，立刻触发蓝屏，防止穿保护等。

显示全部楼层 · 发表于 2021-9-26 11:40:01

wowocock 发表于 2021-9-26 11:09
能加载驱动了，理论上来说，都能穿还原了，恢复各种HOOK即可。所以好点得还原要么禁止非白驱动加载， ...

话说用类似360核晶的方法，通过虚拟化把系统丢Ring1去，可以防御驱动之类的吗？

显示全部楼层 · 发表于 2021-9-26 14:13:12

诺顿

显示全部楼层 · 发表于 2021-9-26 14:55:51

huangsijun17 发表于 2021-9-26 11:40
话说用类似360核晶的方法，通过虚拟化把系统丢Ring1去，可以防御驱动之类的吗？

可以防一部分，但对大部分没用，还得靠拦截驱动加载为主。

显示全部楼层 · 发表于 2021-9-26 17:33:19

edge全部拦截。

显示全部楼层 · 发表于 2021-10-2 16:56:51

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2021-10-4 14:22:25

瑞星解压杀

显示全部楼层 · 发表于 2021-10-4 14:41:36

微软确认驱动是Malware了，看看什么时候添加检测吧

[病毒样本] 穿影子系统+MBRkiller（funny作者新作）