第二个WHQL Rootkit

显示全部楼层 · 发表于 2022-5-9 09:46:47

下载1：https://t.wss.ink/f/89r3ruyz64t 复制链接到浏览器打开
下载2：https://www.123pan.com/s/xaeA-jd7vH 提取码:9rFx

显示全部楼层 · 发表于 2022-5-9 09:49:54

ESET Win64/Agent.BCX

显示全部楼层 · 发表于 2022-5-9 09:52:30

显示全部楼层 · 发表于 2022-5-9 10:03:27

本帖最后由 00006666 于 2022-5-9 10:05 编辑

其实就是这个样本，HASH是一样的。

EXE与释放的驱动以前都发过样本区了。

https://bbs.kafan.cn/thread-2233222-1-1.html

https://bbs.kafan.cn/thread-2232802-1-1.html

@wwwab

显示全部楼层 · 发表于 2022-5-9 10:09:16

00006666 发表于 2022-5-9 10:03
其实就是这个样本，HASH是一样的。

EXE与释放的驱动以前都发过样本区了。

和2233222不一样

和2232802一样，但是急救箱扫出来的名字和你之前测的那个随机名称命名方式确实不同，要不就是那个驱动确实干涉了？还是说两个都存在并且都是RootKit？

显示全部楼层 · 发表于 2022-5-9 10:12:10

wwwab 发表于 2022-5-9 10:09
和2233222不一样

和2232802一样，但是急救箱扫出来的名字和你之前测的那个随机名称命名方式确实不同， ...

驱动文件的HASH是一样的，名字不一样其实没什么区别。

显示全部楼层 · 发表于 2022-5-9 10:14:19

00006666 发表于 2022-5-9 10:12
驱动文件的HASH是一样的，名字不一样其实没什么区别。

在急救箱日志里面，这个驱动也是纯数字

但是还有那个随机英文的驱动就是之前那个

wowo说可能不是作恶的驱动

你测试的时候单独那个纯数字也能起来行为的吧

那我感觉有点儿奇怪。。。

要不两个驱动是会互相干涉的

显示全部楼层 · 发表于 2022-5-9 10:15:44

之前那个驱动vt也有好几家报毒，而且也不像是顶替的占坑文件

但是直接加载貌似跑不出来啥东西，好像也没注册表配置（？）

显示全部楼层 · 发表于 2022-5-9 11:21:40

wwwab 发表于 2022-5-9 10:15
之前那个驱动vt也有好几家报毒，而且也不像是顶替的占坑文件

但是直接加载貌似跑不出来啥东西，好 ...

驱动是可以和R3通信的，所以这种我也不能确定是什么原因。

显示全部楼层 · 发表于 2022-5-9 12:00:05

除垫底选手熊猫扫描全部miss外，secureaplus解压AVG引擎发现1X，360安全卫士极速版扫描1X

[病毒样本] 第二个WHQL Rootkit