警惕最新阴间SF Rootkit（以至于我自己都没有样本）

显示全部楼层 · 发表于 2022-4-15 16:30:13

本帖最后由落华无痕于 2022-4-15 16:43 编辑

类似名称的驱动搜集过几个，whql签名的。注册表没自我保护。sc stop 驱动名，再sc delete 驱动名，重启电脑后就完事了。

显示全部楼层 · 发表于 2022-4-15 17:21:09

wwwab 发表于 2022-4-15 14:24
这个病毒好玄学啊，干掉了也没提取到样本

建议可以把帖子开头那个360急救箱搞不定给删除了

显示全部楼层 · 发表于 2022-4-15 17:28:46

火绒工程师发表于 2022-4-15 09:44
您好，这边很关注处理失败的问题，可以能否添加QQ看一下现场，处理一下顺便提取样本

所以说你要跟360一起合作是吗，我很欣慰

显示全部楼层 · 发表于 2022-4-15 18:49:44

我和wowocock大佬找到来源exe了

显示全部楼层 · 发表于 2022-4-15 18:55:58

wwwab 发表于 2022-4-15 18:49
我和wowocock大佬找到来源exe了

那你分享一下呗

显示全部楼层 · 发表于 2022-4-15 18:59:16

00006666 发表于 2022-4-15 18:55
那你分享一下呗

你qq看过没有

显示全部楼层 · 发表于 2022-4-17 06:37:34

wowocock 发表于 2022-4-15 11:08
看了下内存DUMP，木马驱动会禁止急救箱强力模式驱动和360elam驱动的加载。所以先运行，急救箱运行不了被删 ...

想问下它是怎么安排掉ELAM驱动的

[其他相关] 警惕最新阴间SF Rootkit（以至于我自己都没有样本）