[2022/2/12 免杀]绕360修改MBR

显示全部楼层 · 发表于 2022-2-12 17:47:11

ANY.LNK 发表于 2022-2-12 17:42
MS Defender补充：解压自解压文件，里面的exe触发自动上报，随后Program:Win32/Contebrew.A!ml击杀，sys我 ...

提交一个还有N个

我记得有人提过某星也是有过的

显示全部楼层 · 发表于 2022-2-12 17:55:38

tdsskiller 发表于 2022-2-12 17:44
任意磁盘读写。。。。这不乱杀，加载驱动后谁都顶不住

确实，一加驱动就寄了

显示全部楼层 · 发表于 2022-2-12 17:55:46

其实只有回收签名权限才有可能完全防止这种。。。

要不然，人家套个娃，直接用卡巴或者WD投放白驱动，这你总杀不了吧？然后代码任意执行内存加载磁盘驱动直接抹掉你，你连发生什么都不知道

显示全部楼层 · 发表于 2022-2-12 17:56:24

tdsskiller 发表于 2022-2-12 17:47
提交一个还有N个我记得有人提过某星也是有过的

能拦一个是一个吧……

显示全部楼层 · 发表于 2022-2-12 18:01:00

tdsskiller 发表于 2022-2-12 17:55
其实只有回收签名权限才有可能完全防止这种。。。

要不然，人家套个娃，直接用卡巴或者WD投放白驱动，这 ...

不是你想得那么简单，签名没法对单个文件回收，而且，如果吊销签名，成本很高的，不但要申请新的，而且以前软件全废了，对一个杀软来说更雪上加霜，这种一般是文件指纹拦截了

显示全部楼层 · 发表于 2022-2-12 18:04:13

caizhe666 发表于 2022-2-12 18:01
不是你想得那么简单，签名没法对单个文件回收，而且，如果吊销签名，成本很高的，不但要申请新的，而且以 ...

我指的是，回收给驱动打签名的权限，和boot一样，第三方boot全部作废，只有微软本家的才可以用

也就是说，没有第三方签名，只能由微软来敲定签名

显示全部楼层 · 发表于 2022-2-12 18:04:54

BE_HC 发表于 2022-2-12 17:55
确实，一加驱动就寄了

可能和win 11有关，20楼已说明管理员权限也没用

显示全部楼层 · 发表于 2022-2-12 18:05:13

tdsskiller 发表于 2022-2-12 18:04
我指的是，回收给驱动打签名的权限，和boot一样，第三方boot全部作废，只有微软本家的才可以用

也就是 ...

本来WHQL是可以类似这种的，以前据说WHQL签名还得提供源代码才能签

显示全部楼层 · 发表于 2022-2-12 18:07:23

NICO-COOPER 发表于 2022-2-12 18:04
可能和win 11有关，20楼已说明管理员权限也没用

让楼主加一个把EFI分区抹了的代码应该就可以了。。。MBR被抹关UEFI+GPT什么事

显示全部楼层 · 发表于 2022-2-12 18:07:32

caizhe666 发表于 2022-2-12 18:01
不是你想得那么简单，签名没法对单个文件回收，而且，如果吊销签名，成本很高的，不但要申请新的，而且以 ...

HMPA 成功拦截

[病毒样本] [2022/2/12 免杀]绕360修改MBR