KillMBR3x

显示全部楼层 · 发表于 2022-1-22 14:56:54

NICO-COOPER 发表于 2022-1-22 14:55
我是没想到BB会翻车，BD系实测过唯一能有效抵御killMBR的主防也挂了，卡巴pass倒不算意外，毕竟是知名杀 ...

卡巴和BB都做了对引导区的单步hips保护，所以理论上来说都不应该被过的···
~~尤其是卡巴~~

所以我猜测的原因就是样本触发的蓝屏干扰了相关防护

显示全部楼层 · 发表于 2022-1-22 14:58:39

火绒爃发表于 2022-1-22 14:54
奇怪的是各种云沙箱都检测不到写扇区的行为，明明源码简单的很啊

确实很奇怪，之前大佬说过BB有专门对付killMBR的模块，之前半个月的killMBR从来没翻过，这次BB连反应都没有

显示全部楼层 · 发表于 2022-1-22 14:59:26

白崎桑发表于 2022-1-22 14:22
管理员运行看看？

直接右键用管理员运行肯定是死定了

显示全部楼层 · 发表于 2022-1-22 15:00:32

swizzer 发表于 2022-1-22 14:56
卡巴和BB都做了对引导区的单步hips保护，所以理论上来说都不应该被过的···
~~尤其是卡巴~~ ...

去看看十九楼的源码你会怀疑人生

显示全部楼层 · 发表于 2022-1-22 15:02:26

MDE 阻断 All In

显示全部楼层 · 发表于 2022-1-22 15:02:48

Kaspersky miss 已上报

显示全部楼层 · 发表于 2022-1-22 15:11:27

火绒爃发表于 2022-1-22 15:00
去看看十九楼的源码你会怀疑人生

对这方面了解不深，看起来是直接向IO端口发消息实现的擦除扇区？

~~我记得这种方法还是很底层的···~~

显示全部楼层 · 发表于 2022-1-22 15:29:34

panda双击清空

显示全部楼层 · 发表于 2022-1-22 15:30:09

毛豆强势拦截
前两个全部入沙，惨遭降权，防御成功；

关闭沙盒测试第三个：

显示全部楼层 · 发表于 2022-1-22 15:37:31

swizzer 发表于 2022-1-22 15:30
毛豆强势拦截
前两个全部入沙，惨遭降权，防御成功；

果然是调用驱动

[病毒样本] KillMBR3x