（图赏）各大杀软自家的急救箱or扫描器（更新至第二十三家）

落华无痕

00006666 发表于 2022-1-12 22:57
PE里面手动删除其实都可以。

能运行的，我只知道360急救箱有一个专门的PE版本，其他的不太了解。

手动删的前提是你得知道病毒路径。
PE里支持查看离线系统的驱动服务工具有scanvirus，别的不知道还有哪些，也可以自己做。

dongbingtuo

迈克菲视360急救箱为威胁

Mod123xsd

翼风Fly 发表于 2022-1-12 23:29
已经收录至
https://bbs.kafan.cn/thread-1852164-1-1.html
楼主加油~

感谢大佬的肯定

翼风Fly

00006666 发表于 2022-1-12 23:44
个人觉得ARK那里可以补充PYARK和OPENARK

windbg其实也可以补充一下，蓝屏分析用。

十分感谢，已经收录！
WinDbg 已经收录在专门的蓝屏科普贴：
https://bbs.kafan.cn/thread-1850008-1-1.html
非专业相关的话其作用太过有限，就不在那里推了

shizhe130

好久没见到这么有用的帖子了，下载一个保存备用，关键时候能救命啊

tntihd

http://180.153.99.110/dlied6.qq. ... 6.49.121&proto=http

http://t.cn/RmzgGPW

腾讯电脑管家系统急救箱的下载地址 之前官网都有的 现在被隐藏了
https://www.ijinshan.com/product/zhuansha.shtml

金山急救箱

tdsskiller

00006666 发表于 2022-1-9 19:15
不过其实我觉得扫描器和强力清除工具还是有一点区别的，测试强力清除工具其实可以试试虚拟机加载rootkit， ...

不用测试了，现在的对抗都是点对点精确打击，拉黑签名可以废掉除急救箱外所有宣称ark或者反rootkit工具，如果没有针对，我找一个冷门的ark就可能找到rootkit……

我看到急救箱现在打不开的解决方案，那些启动急救箱的exe描述签名都是假的，驱动都是loader，没有实际功能的急救箱驱动落地，而且启动的进程会隐藏进程，ark都扫描不出来，还炸掉了全局的loadimage回调

从这里可以看出急救箱被针对到什么程度，封杀全部360的签名，内核检查是否有360急救箱特征的进程存在，扫描注册表检查是否有360服务或者驱动，检查文件是否有360的特征，换其他家的我认为没有经过这种强度对抗的考验，面对强大的rootkit都是废物

特别提醒，急救箱会炸回调和隐藏进程我是没想到的

tdsskiller

wowocock 发表于 2022-1-10 10:03
欢迎贴一些急救箱无法查杀的ROOTKIT样本。

现在还有吗？除了频繁更新的老对手基本都是能锤。。。

现在外网rootkit的情况如何？很久没有发现过外网的rootkit了

就当我是上帝

KVRT那个，从去年开始，不管是在国内官网还是国际版官网，点击官方下载那个链接，永远跳回网站首页，死循环，不知道啥情况

wwwab

[quote][url=forum.php?mod=redirect

KVRT的话，直接打开http://devbuilds.kaspersky-labs. ... atest/full/KVRT.exe即可下载的了

卡巴原来还有一个专门查杀Rootkit的叫做TDSSKiller，不过那个停运掉了官方下载地址链接真的下不到了，好像功能是合并到了KVRT里面去的了