终于找到RootKit来源

wwwab

swizzer 发表于 2022-4-15 20:25
释放的驱动你以前发出来过

https://bbs.kafan.cn/thread-2227114-1-1.html

巧了，好像就是那个驱动同一个，不过这次倒是找到了运行的触发条件（用本次的exe和dll即可运行）

anxiety520

卡巴      在写信了在写信了

心醉咖啡

毒霸扫描miss

Miostartos

comodo也就能自动入沙了
不知道会不会被穿

落华无痕

00006666 发表于 2022-4-15 20:23
释放的驱动带WHQL签名，应该MISS的杀软数量会很多，好像是内存加载，关机回写，所以找不到样本。@swizzer
...

不是内存加载，有文件的。


虚拟机测试独立版急救箱强力模式两遍可以解决。

00006666

落华无痕 发表于 2022-4-15 22:19
不是内存加载，有文件的。

https://bbs.kafan.cn/forum.php?m ... 232154&pid=50797336

wowocock分析过内存dump，认为这个样本会拦截急救箱加载驱动，要先运行辅助工具停掉内核回调，急救箱才可以进入强力模式，不然就会显示成蓝色的强力模式图标，重启也进不去红色强力模式，不过楼主远程的那个实体机，红色强力模式也不能清除，后来是c\windows 下丢个wowocock.tmp空文件，再用强力模式才清除成功的。

wowocock

00006666 发表于 2022-4-15 23:07
https://bbs.kafan.cn/forum.php?m ... 232154&pid=50797336

wowocock分析过内存dump，认为这个样本会 ...

测了下，这个版本的木马急救箱能完美解决，而且文件也没隐藏，感觉少了点什么。怀疑还有更新版的木马没找到。

sichuanwenxuan

00006666

wowocock 发表于 2022-4-15 23:11
测了下，这个版本的木马急救箱能完美解决，而且文件也没隐藏，感觉少了点什么。怀疑还有更新版的木马没找 ...

所以帖子里面这个其实和前面那个样本不一样，那个样本其实还没找到    估计就挺麻烦的了

00006666

落华无痕 发表于 2022-4-15 22:19
不是内存加载，有文件的。

这个样本楼主是远程过去实体机的，而且联系360技术支持也远程过，红色强力模式显示已清除，但是重启又会复活，那个技术人员最后建议进入PE查杀，后来是用了wowocock一个特殊方法才解决的。