Bootkit

显示全部楼层 · 发表于 2021-12-25 21:25:53

anthonyqian 发表于 2021-12-25 21:24
重新启动ok嘛？

别问了我俩玩半天了主防ESET最拉

显示全部楼层 · 发表于 2021-12-25 21:27:12

@onedrive 咖啡拉来点一点看看

显示全部楼层 · 发表于 2021-12-25 21:27:18

本帖最后由 a27573 于 2021-12-25 21:38 编辑

netweb 发表于 2021-12-25 20:40
ESSP miss
ELG 先miss 后kill

就是监控得到但是不能拦是吗

如果说拦SCSI passthrough之类的会影响性能，还说得过去

对普通的WriteFile，监控都搞了，该影响的也都影响了，还拦不了就纯属bug了吧

显示全部楼层 · 发表于 2021-12-25 21:27:37

aiqinghe 发表于 2021-12-25 21:25
重新启动后系统正常

可以贴一下SONAR的报法吗

显示全部楼层 · 发表于 2021-12-25 21:34:24

mcafee个人版
扫描miss
双击中招没反应

显示全部楼层 · 发表于 2021-12-25 21:36:02

vaedzy 发表于 2021-12-25 05:27
@onedrive 咖啡拉来点一点看看

楼下有，咖啡中招了

显示全部楼层 · 发表于 2021-12-25 21:36:30

本帖最后由 aiqinghe 于 2021-12-25 21:38 编辑

anthonyqian 发表于 2021-12-25 21:27
可以贴一下SONAR的报法吗

文件名: 616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe
威胁名称: SONAR.Heuristic.170完整路径: 不可用

____________________________

____________________________

在电脑上
2021/12/25 ( 21:22:29 )

上次使用时间
2021/12/25 ( 21:22:29 )

启动项
否

已启动
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________

616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe 威胁名称: SONAR.Heuristic.170
定位

极少用户信任的文件
Norton 社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

____________________________

来源: 外部介质

源文件:
616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe

____________________________

文件操作

文件: c:\Users\administrator\Desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\ 616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe 已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\administrator\desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe, PID:5876) 未采取操作
(执行者 c:\users\administrator\desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe, PID:5876) 未采取操作
事件: 进程启动: c:\users\administrator\desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\ 616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe, PID:3436 (执行者 c:\users\administrator\desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe, PID:5876) 未采取操作
事件: 进程启动: c:\users\administrator\desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\ 616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe, PID:5876 (执行者 c:\users\administrator\desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe, PID:5876) 未采取操作
____________________________

可疑操作

(执行者 c:\users\administrator\desktop\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9\616389cdebace73c8975c6e3f3824e2cb7e2eaaf2272f9955a30a36bb8889bc9.exe, PID:5876) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2021-12-25 22:12:11

a27573 发表于 2021-12-25 21:27
就是监控得到但是不能拦是吗

如果说拦SCSI passthrough之类的会影响性能，还说得过去

FD里打开直接磁盘访问是不会有提示的，打开写入到文件可以监控到，但是拦截无效，它本来就不是负责直接磁盘访问的。所以我需要火绒来防killmbr。

生如夏花之绚烂，死如秋叶之静美
2021/12/25 下午11:12:12
bye
From The Amazing Artifact：Netscape

显示全部楼层 · 发表于 2021-12-25 22:14:51

本帖最后由 a27573 于 2021-12-25 22:18 编辑

netweb 发表于 2021-12-25 22:12
FD里打开直接磁盘访问是不会有提示的，打开写入到文件可以监控到，但是拦截无效，它本来就不是负责直接磁 ...

大佬有试过HMPA的MBR保护吗？

还有，按理说能监控到就能拦，感觉还是bug

WriteFile应该不算底层磁盘访问吧

显示全部楼层 · 发表于 2021-12-25 22:27:53

a27573 发表于 2021-12-25 22:14
大佬有试过HMPA的MBR保护吗？

还有，按理说能监控到就能拦，感觉还是bug

就用过一次hitmanpro.alert，没测过它的MBR防护，不过我认为它的应该不会失效。
ESET本来就没有mbr防护，还不维护HIPS，才无法拦截killMBR，现在只能期望完善后的深度行为检测了。

生如夏花之绚烂，死如秋叶之静美
2021/12/25 下午11:27:53
bye
From The Amazing Artifact：Netscape

[病毒样本] Bootkit

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分