从未见过如此阴间之Rootkit

显示全部楼层 · 发表于 2022-4-11 12:54:15

tdsskiller 发表于 2022-4-11 12:41
这个炸别人的回调啊，excited，火绒剑和ydark立刻瞎掉

现在木马也都那么干，各种方式加载驱动，然后干掉安全软件的回调，过滤，去除文件，注册表等各种防护，然后其他进攻。类似打仗，空军轰炸，干掉所有防御系统，然后地面部队随意进攻。

显示全部楼层 · 发表于 2022-4-11 13:18:09

wwwab 发表于 2022-4-11 10:10
一开始没改发现打不开，后来改了就发现可以打开了……
也没删除啊，就是只是会这样：

话说你有没有试试用急救箱运行不了被删除请将我放到其他目录改名运行后再下载使用.exe配合火绒专杀工具，有概率也许火绒专杀工具就能清除这个样本了

显示全部楼层 · 发表于 2022-4-11 18:42:41

00006666 发表于 2022-4-11 13:18
话说你有没有试试用急救箱运行不了被删除请将我放到其他目录改名运行后再下载使用.exe配合火绒专杀工具， ...

奇怪的组合增加了呢

显示全部楼层 · 发表于 2022-4-11 19:21:31

直接进PE杀毒，懒得折腾

显示全部楼层 · 发表于 2022-4-11 21:37:14

让ARK找不到又不难...bufferload就能做到

显示全部楼层 · 发表于 2022-4-11 21:57:33

Yuki丶发表于 2022-4-11 21:37
让ARK找不到又不难...bufferload就能做到

能在不阻止急救箱加载驱动的情况下让急救箱找不到应该有难度吧

显示全部楼层 · 发表于 2022-4-11 22:26:08

00006666 发表于 2022-4-11 21:57
能在不阻止急救箱加载驱动的情况下让急救箱找不到应该有难度吧

也没有难度

显示全部楼层 · 发表于 2022-4-11 22:38:35

漂洋过海123 发表于 2022-4-11 08:23
唯一一个能跑RootKit的沙箱：https://www.vmray.com/analyses/809be97b5f4f/report/overview.html
...

花了多少钱？

显示全部楼层 · 发表于 2022-4-11 22:40:41

本帖最后由 a27573 于 2022-4-11 22:51 编辑

00006666 发表于 2022-4-11 21:57
能在不阻止急救箱加载驱动的情况下让急救箱找不到应该有难度吧

bufferload又没有驱动对象，当然找不到

（个人理解，大佬轻喷）

@Yuki丶是这样吗？

显示全部楼层 · 发表于 2022-4-11 23:13:14

a27573 发表于 2022-4-11 22:40
bufferload又没有驱动对象，当然找不到
（个人理解，大佬轻喷）

差不多

[病毒样本] 从未见过如此阴间之Rootkit