当杀软遇上2020的驱动是否能一战

显示全部楼层 · 发表于 2022-2-11 00:30:12

本帖最后由 00006666 于 2022-2-11 00:59 编辑

编辑

显示全部楼层 · 发表于 2022-2-11 00:31:25

00006666 发表于 2022-2-11 00:21
讲道理楼主用的是一个无签名的自制程序来加载驱动，虽然加载的驱动是白驱动，但是那个程序不就挺可疑的， ...

这个不清楚厂商怎么想的，虽说有些ARK工具是没有签名的（例如PT，驱动有）
我记得我测这个贴的时候 https://bbs.kafan.cn/thread-2226988-1-1.html
用的PT毛豆是没有弹窗的，SSP会提示。

我个人觉得对于卡巴和毛豆这种有按照程序是否受信任而自动选择受限或者不受限的就有可能钻这个空子，自制的话不知道卡巴会不会塞到低限组，这样应该不能加载驱动。毛豆基本上妥妥的入沙（上面那个贴直接自动入沙）。其他的杀软基本上就是静态过了，碰到这种基本上歇菜。。。。

显示全部楼层 · 发表于 2022-2-11 00:42:01

00006666 发表于 2022-2-11 00:30
可以加载个minifilter，对文件/进程/注册表都做一个过滤

minifilter只能管文件

显示全部楼层 · 发表于 2022-2-11 00:50:49

本帖最后由 00006666 于 2022-2-11 01:07 编辑

Yuki丶发表于 2022-2-11 00:42
minifilter只能管文件

全部进程创建阻止都行。

IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION在
Data->Iopb->Parameters.AcquireForSectionSynchronization.PageProtection == PAGE_EXECUTE

显示全部楼层 · 发表于 2022-2-11 01:27:44

本帖最后由 Yuki丶于 2022-2-11 01:29 编辑

00006666 发表于 2022-2-11 00:50
全部进程创建阻止都行。

IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION在

然而写minifilter比较复杂写通知也就几行代码劫持别的驱动通知也行

通知里只要改个状态就行了 minifiter还得考虑其他

显示全部楼层 · 发表于 2022-2-11 16:29:00

海龙王_ccmd 发表于 2022-2-4 23:30
我的水平不行，
只是说一下自己的看法：
1、如果virus是驱动级注入，在注入之前和过程中没有被发现，进入 ...

现在测试情况是先安装好杀软后注入，对么

在有杀软的情况下，遇到驱动注入情况，应该是万分警惕的，别的小病毒漏了，这种也不该漏，不该检测不出来

现在这个测试结果，是不是说明这个加驱病毒太厉害了？

显示全部楼层 · 发表于 2022-2-12 00:51:15

本帖最后由 Yuki丶于 2022-2-12 00:54 编辑

其实让这驱动杀不了的方法太多了
比如进程断链+*(ULONG64*)ExpLookupHandleTableEntry(PspCidTable, PID) = 0;
你都找不到这进程 R0里一般的方法都找不到 ARK找到了也杀不了

显示全部楼层 · 发表于 2022-2-12 01:08:14

本帖最后由 00006666 于 2022-2-12 01:12 编辑

Yuki丶发表于 2022-2-12 00:51
其实让这驱动杀不了的方法太多了
比如进程断链+*(ULONG64*)ExpLookupHandleTableEntry(PspCidTable, ...

以前看到一个叫EDRSandblast的开源项目，里面有 removal EDR Kernel callbacks等，就这一项很多EDR就失效了，而且EDR没有提示防御出现异常。

显示全部楼层 · 发表于 2022-2-12 01:13:42

BE_HC 发表于 2022-2-11 00:31
这个不清楚厂商怎么想的，虽说有些ARK工具是没有签名的（例如PT，驱动有）
我记得我测这个贴的时候 http ...

卡巴貌似没有直接防加驱的选项

显示全部楼层 · 发表于 2022-2-12 17:42:14

BE_HC 发表于 2022-2-11 00:19
虽然这么说，如果恶意驱动已经加载了又跟杀软对抗的话，还是立刻BSOD比较好。

防御前移到加载确实是最 ...

不存在的，你这样只会导致系统更新无限蓝屏

默默告诉你，系统更新也有驱动的更迭

有种破一个微软的强制驱动更新试试？

[技术原创] 当杀软遇上2020的驱动是否能一战