[废了][2022/2/10 绕过360加驱]无声加载驱动

显示全部楼层 · 发表于 2022-2-10 10:45:07

00006666 发表于 2022-2-10 10:09
@wowocock 帮忙分析下这个。

直接就被干了。

显示全部楼层 · 发表于 2022-2-10 10:52:54

看了下，就是驱动内插APC注入DLL的老套路，驱动也不是白的，应该都会拦截。确保你的360开着主防。

显示全部楼层 · 发表于 2022-2-10 11:16:11

@caizhe666 360卫士应该没有单独关闭实时监控的开关，这个样本正常应该是可以拦截的(如果没有报毒，主防可以拦截)，有点想了解你那里是怎样测试360主防的。

显示全部楼层 · 发表于 2022-2-10 11:33:38

显示全部楼层 · 发表于 2022-2-10 11:42:09

本帖最后由 BE_HC 于 2022-2-10 11:49 编辑

毛豆
允许后写cis.exe直接被干

显示全部楼层 · 发表于 2022-2-10 11:47:21

00006666 发表于 2022-2-10 11:16
@caizhe666 360卫士应该没有单独关闭实时监控的开关，这个样本正常应该是可以拦截的(如果没有报毒，主防可 ...

测试视频：
https://wwi.lanzoup.com/iwVWhzujpxc

我测试的时候没有加自解压，加了自解压就报毒了23333

显示全部楼层 · 发表于 2022-2-10 11:49:34

BE_HC 发表于 2022-2-10 11:42
毛豆

这里可以选阻止，因为加载驱动并不是在这个程序中进行的，驱动此时已经加载了

显示全部楼层 · 发表于 2022-2-10 11:56:25

火绒kill

智量kill

显示全部楼层 · 发表于 2022-2-10 12:15:04

caizhe666 发表于 2022-2-10 11:49
这里可以选阻止，因为加载驱动并不是在这个程序中进行的，驱动此时已经加载了

往前就是这个拦截点了，sunnydoll没有拦截点

显示全部楼层 · 发表于 2022-2-10 12:19:42

hyx2230 发表于 2022-2-10 11:56
火绒kill

智量kill

火绒拉黑签名呜呜呜

[病毒样本] [废了][2022/2/10 绕过360加驱]无声加载驱动