当杀软遇上2020的驱动是否能一战

显示全部楼层 · 发表于 2022-2-5 15:16:15

申请样本 BEST with BD XEDR
看看BD系的自保

显示全部楼层 · 发表于 2022-2-5 15:17:09

隔山打空气发表于 2022-2-5 15:15
所以说，HIPS依然武德充沛

属于HIPS的时代还没过去呢

其实360那个驱动拦截是多步拦截，是要满足可疑程序-释放驱动-加载驱动才会拦截，直接用加载工具来加载不会拦截的

显示全部楼层 · 发表于 2022-2-5 15:17:28

00006666 发表于 2022-2-5 15:14
急救箱能被任务管理器看到PID也是离谱，那个测试样本直接输入PID能结束superkiller.exe

看得到，但进程名字感觉不很正常

毕竟是急救箱运行几轮对抗之后没手杀基本上没戏

显示全部楼层 · 发表于 2022-2-5 15:18:37

00006666 发表于 2022-2-5 15:17
其实360那个驱动拦截是多步拦截，是要满足可疑程序-释放驱动-加载驱动才会拦截，直接用加载工具来加载不 ...

那要是拿来一个旧版的原神安装程序…

显示全部楼层 · 发表于 2022-2-5 15:19:01

本帖最后由 00006666 于 2022-2-5 15:20 编辑

隔山打空气发表于 2022-2-5 15:18
那要是拿来一个旧版的原神安装程序…

用加载工具试试就知道了

比如InstDrv

显示全部楼层 · 发表于 2022-2-5 15:20:32

00006666 发表于 2022-2-5 15:19
用加载工具试试就知道了

溜了溜了，学习去，数学还没看完呢

开学了就不能看论坛咯

显示全部楼层 · 发表于 2022-2-5 15:25:08

tdsskiller 发表于 2022-2-5 15:05
emmm，我发现你们这里杀软还能重启，甚至还能云？建议加入传奇私-Fu干急救箱套餐：内核中删服务，文件，拉 ...

会重启也是挺奇怪的，应该是有自保进程还在，多进程互相保护

，全部进程结束应该就不能重启了

显示全部楼层 · 发表于 2022-2-5 15:30:37

我的水平不行，
只是说一下自己的看法：
1、如果virus是驱动级注入，在注入之前和过程中没有被发现，进入了底层，基本就没有什么杀软能够清理了，就更谈不上保护了。说个好听的，即使能够清理，那系统也基本上完了，至少也受到极大的影响。
另外，看它的目的是什么了，现在，攻击硬件的已经非常少了，出力不讨好的事，现在的高手已经不干了，不再是为了扬名。就可怕的是在后台沉默地呆着，干私活。
2、在被感染的状态下还能够启动，在目前的杀软中算是好的了，不能启动是正常的。
3、对于MD，我还是那句话，不要看外界的评价，也测试中也没有必要测试它（至少现在是这样），它除了能够杀那种东西在行，其它的就算了吧。

显示全部楼层 · 发表于 2022-2-5 15:37:39

海龙王_ccmd 发表于 2022-2-5 15:30
我的水平不行，
只是说一下自己的看法：
1、如果virus是驱动级注入，在注入之前和过程中没有被发现，进入 ...

自从有了ELAM的加入，杀软清理内核样本的难度其实小了很多

显示全部楼层 · 发表于 2022-2-5 15:48:11

00006666 发表于 2022-2-5 15:12
那个白驱动被未知程序释放，在我这里测试甚至出现了一落地就隔离

建议附带同版本母体

[技术原创] 当杀软遇上2020的驱动是否能一战