[废了][2022/2/10 绕过360加驱]无声加载驱动

显示全部楼层 · 发表于 2022-2-10 10:06:57

本帖最后由 caizhe666 于 2022-2-12 11:34 编辑

不知道是360故意放过还是怎样，就算直接CreateServiceW，StartServiceW，也不会拦截，只有在手动修改services注册表的时候才会有提醒。目前仅测试360，至于火绒emm，应该不用测试了。
加载驱动之后会打开一个命令窗口，是内核注入dll工具，自解压自带了GetShell_x64/86.dll，用于通过被注入进程打开cmd，可以通过process explorer验证，除smss.exe无法注入外，其余进程（包括csrss.exe）都可以注入，这个用于说明注入成功，一旦注入后，调用TerminateProcess即可结束自身进程，无视任何保护（当然关键进程没了要蓝屏）。
你也可以输入自己提供的dll。
（用的病毒库有点老，二月六号的，不过应该没关系吧awa）

链接（塞了一堆东西，居然超1mb了）：
https://wwi.lanzoup.com/i13Opzuds2d

显示全部楼层 · 发表于 2022-2-10 10:09:10

@wowocock 帮忙分析下这个。

显示全部楼层 · 发表于 2022-2-10 10:17:08

显示全部楼层 · 发表于 2022-2-10 10:17:43

761773275 发表于 2022-2-10 10:17

emmm

显示全部楼层 · 发表于 2022-2-10 10:21:27

本帖最后由 ft-cai 于 2022-2-10 10:46 编辑

Kaspersky

10：20
所有均回滚

10：42 云拉黑

显示全部楼层 · 发表于 2022-2-10 10:21:39

crowdstrike 双击杀

显示全部楼层 · 发表于 2022-2-10 10:22:06

显示全部楼层 · 发表于 2022-2-10 10:25:01

emm，看了下报毒，应该和Rain.exe有关，我去搞搞免杀awa

显示全部楼层 · 发表于 2022-2-10 10:27:59

MD

HiddenLoader.exe->(RarSfx)->KeInjector_x64.sys & HiddenLoader.exe->(RarSfx)->KeInjector_x86.sys - PUA:Win32/Creprote

显示全部楼层 · 发表于 2022-2-10 10:41:59

Avast
Win64:Trojan-gen

[病毒样本] [废了][2022/2/10 绕过360加驱]无声加载驱动

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源