警惕最新阴间SF Rootkit（以至于我自己都没有样本）

wwwab

360急救箱搞不定

长话短说
简要描述病毒特征：
驱动名称：000853332662449231，驱动路径C:\Windows\System32\drivers\000853332662449231，启动顺序：7，文件未通过签名：

中毒后会被sf劫持网页
直接提取或者复制驱动文件会被替换为损坏样本(损坏样本MD5:A8EC96F6B070406DE7178DCCC2AA54F5)：

使用ark工具查看驱动内核钩子的时候直接蓝屏

火绒恶性木马专杀工具成功检出但是处理失败：
360急救箱强力模式成功检出处理成功后重启病毒驱动还在并且仍然正常运行没有被干掉一分一毛（甚至无法进入强力模式）：
运行360急救箱“无签名工具.exe”和“急救箱运行不了被删除请将我放到其他目录改名运行后再下载使用.exe”后再次使用ark仍然干不掉该恶意驱动甚至还蓝屏了（说明完全没有成功炸掉驱动内核回调）

然后，360技术人员搞了半天怎么重启又都进不去红色强力模式了，就说只能进PE进行查杀了

最后，一天忙活儿下来也没拿到样本

@00006666 @wowocock @tdsskiller @火绒工程师

00006666

这种拦截急救箱强力模式驱动加载的样本，去年该家族的早期版本@落华无痕 好像就找到过样本

wowocock

00006666 发表于 2022-4-14 21:26
这种拦截急救箱强力模式驱动加载的样本，去年该家族的早期版本@落华无痕 好像就找到过样本

提供下样本，我们看看。

wowocock

00006666 发表于 2022-4-14 21:26
这种拦截急救箱强力模式驱动加载的样本，去年该家族的早期版本@落华无痕 好像就找到过样本

进PE取下驱动样本，发上来。

沧桑浪子

SHA-256        88d4468bc064af13f9f6514e6fc3d82ee572a85adfa7b26fc2982e774d54f6a1
MD5        d04b343780dea231cef448862e48ac84

https://ti.360.net/#/detailpage/ ... 0.03183725151994676

360云端应该捕捉到了！

另外，谁有微步账号，看看能不能下载样本
https://s.threatbook.cn/report/f ... p1_enx86_office2013

wwwab

沧桑浪子 发表于 2022-4-15 09:24
SHA-256        88d4468bc064af13f9f6514e6fc3d82ee572a85adfa7b26fc2982e774d54f6a1
MD5        d04b343780dea231cef448 ...

这个是我dump出来的

是Dumped_000853332662449231

没有研究意义和研究价值

应该是被自动上传了

wowocock

沧桑浪子 发表于 2022-4-15 09:24
SHA-256        88d4468bc064af13f9f6514e6fc3d82ee572a85adfa7b26fc2982e774d54f6a1
MD5        d04b3437 ...

这个应该不是原始文件，可能是内存DUMP。

沧桑浪子

wwwab 发表于 2022-4-15 09:26
这个是我dump出来的

是Dumped_000853332662449231

也就是说，MD5        d04b343780dea231cef448862e48ac84   这个还不是样本？

wwwab

沧桑浪子 发表于 2022-4-15 09:27
也就是说，MD5        d04b343780dea231cef448862e48ac84   这个还不是样本？

这个是我dump出来的内存数据啊

沧桑浪子

wwwab 发表于 2022-4-15 09:28
这个是我dump出来的内存数据啊

好奇怎么能中这个毒