从未见过如此阴间之Rootkit

显示全部楼层 · 发表于 2022-4-11 23:55:21

应该说只要敢公开的，没有找不到和干不掉的。

显示全部楼层 · 发表于 2022-4-12 00:03:59

奇安信kill

显示全部楼层 · 发表于 2022-4-12 01:06:40

wowocock 发表于 2022-4-11 23:55
应该说只要敢公开的，没有找不到和干不掉的。

万一有神奇的玩意改固件。。。

显示全部楼层 · 发表于 2022-4-12 06:09:22

a27573 发表于 2022-4-11 22:40
bufferload又没有驱动对象，当然找不到
（个人理解，大佬轻喷）

说不定也能找到

显示全部楼层 · 发表于 2022-4-12 16:28:00

显示全部楼层 · 发表于 2022-4-12 16:50:00

00006666 发表于 2022-4-11 21:57
能在不阻止急救箱加载驱动的情况下让急救箱找不到应该有难度吧

加载驱动后卸载，只要不持久化都好说，急救箱太针对持久化了

显示全部楼层 · 发表于 2022-4-12 16:52:34

00006666 发表于 2022-4-11 21:57
能在不阻止急救箱加载驱动的情况下让急救箱找不到应该有难度吧

emmmm，这种如果不要持久化那可能还好，持久化你确定可以？

不能在services下有任何蛛丝马迹，让别人给你加载驱动？

显示全部楼层 · 发表于 2022-4-12 16:55:12

00006666 发表于 2022-4-12 06:09
说不定也能找到

反外{过}{滤}挂的对抗级别都能做到，主要是rootkit要持久化，被找到等于gg

显示全部楼层 · 发表于 2022-4-12 17:06:16

tdsskiller 发表于 2022-4-12 16:55
反外{过}{滤}挂的对抗级别都能做到，主要是rootkit要持久化，被找到等于gg

除非你是勒索，加密或偷窃之类的一锤子买卖，否则必须持久化。

显示全部楼层 · 发表于 2022-4-12 22:40:05

本帖最后由 a27573 于 2022-4-12 22:41 编辑

00006666 发表于 2022-4-12 06:09
说不定也能找到

在内存里匹配特征应该可行

[病毒样本] 从未见过如此阴间之Rootkit