SYS样本1X

显示全部楼层 · 发表于 2022-2-12 17:15:49

ANY.LNK 发表于 2022-2-12 17:14
MS Defender：入库PUA:Win32/SBYinYing，有无效的签名啊？@00006666 ，如果被安全软件禁止访问的话是看不到 ...

virustotal显示没有签名，我没有自己看文件

显示全部楼层 · 发表于 2022-2-12 17:16:35

咖啡云杀

显示全部楼层 · 发表于 2022-2-12 17:19:42

00006666 发表于 2022-2-12 17:15
virustotal显示没有签名，我没有自己看文件

VirusTotal检测签名无效就会这样，它不会提示无效签名文件是签名过的

显示全部楼层 · 发表于 2022-2-12 17:20:35

漂洋过海123 发表于 2022-2-12 16:40
这玩意儿还真被病毒直接扔进了drivers文件夹里面，不过好像确实没有能够跑起来

似乎微软之前的一次更新禁止了这种无效签名的驱动加载到内核

显示全部楼层 · 发表于 2022-2-12 17:44:40

SecureAPlus 断网扫描 apex kill

显示全部楼层 · 发表于 2022-2-12 18:00:30

ANY.LNK 发表于 2022-2-12 17:19
VirusTotal检测签名无效就会这样，它不会提示无效签名文件是签名过的

virustotal本来检测无效签名会显示签名过期之类的，自签名类的会显示不在本地信任名单，可以加一个无效自签名上传virustotal扫描就能看到了，以前没见过这种直接显示没有签名的。

显示全部楼层 · 发表于 2022-2-12 18:02:36

ANY.LNK 发表于 2022-2-12 17:20
似乎微软之前的一次更新禁止了这种无效签名的驱动加载到内核

应该是？被撤回签名和黑名单加载不了。

PS：这些名字非常土的签名是我们的特色，有人批发的

显示全部楼层 · 发表于 2022-2-12 18:12:50

00006666 发表于 2022-2-12 18:00
virustotal本来检测无效签名会显示签名过期之类的，自签名类的会显示不在本地信任名单，可以加一个无效自 ...

的确，但后来我注意到VT不再提示无效签名了，直接提示无效

显示全部楼层 · 发表于 2022-2-12 18:18:57

本帖最后由 00006666 于 2022-2-12 18:24 编辑

可能是VT后来改了，以前是不会的。

显示全部楼层 · 发表于 2022-2-12 19:17:19

[病毒样本] SYS样本1X