[2022/2/12 免杀]绕360修改MBR

显示全部楼层 · 发表于 2022-2-12 22:42:49

本帖最后由 a27573 于 2022-2-12 23:01 编辑

tdsskiller 发表于 2022-2-12 19:21
256相关得？zamguard是杀软，别想着拉黑，只有可能是没有WHQL或者没有256？

不是

微软修了加载驱动时不验证证书是否吊销/过期的bug

官方的说明里没有提，但是UC上有人扒出来了

P.S. 之前神龟也提过这个不验证的行为，不过看他的意思这似乎是个feature [:01:]

显示全部楼层 · 发表于 2022-2-13 00:16:39

小A miss

显示全部楼层 · 发表于 2022-2-13 09:27:46

显示全部楼层 · 发表于 2022-2-13 09:45:07

a27573 发表于 2022-2-12 22:33
难道不能对每个文件发一个新证书吗？这样只要吊销对应证书就行
CA是同一个

那样管理不方便

显示全部楼层 · 发表于 2022-2-13 11:14:46

解压两次后火绒直接扫描

显示全部楼层 · 发表于 2022-2-13 14:41:05

biue 发表于 2022-2-12 14:55
火绒扫描miss，运行并且重启后系统卒

我记得有修改MBR防护，但默认不勾选，测试的时候有勾吗

显示全部楼层 · 发表于 2022-2-13 16:37:06

本帖最后由火绒爃于 2022-2-13 16:41 编辑

幽冥の龙发表于 2022-2-13 14:41
我记得有修改MBR防护，但默认不勾选，测试的时候有勾吗

这是内核层的MBR写入，火绒拦不了的，不过如果设置了驱动防护加载驱动的时候会有提示，火绒的MBR防护是默认开启的，不过安装后要重启2次才能生效

显示全部楼层 · 发表于 2022-2-13 17:53:34

幽冥の龙发表于 2022-2-13 14:41
我记得有修改MBR防护，但默认不勾选，测试的时候有勾吗

有勾选并且已重启两次

显示全部楼层 · 发表于 2022-2-14 10:08:06

本帖最后由 360政企于 2022-2-14 15:15 编辑

经查询，该漏洞早已在2022-01-22 20:52:00就已被反馈至我司业务并且目前已得到修复。

显示全部楼层 · 发表于 2022-2-14 10:52:31

？
说好的免杀呢

[病毒样本] [2022/2/12 免杀]绕360修改MBR