【非常凶悍，让所有主流杀软沦陷的病毒】

显示全部楼层 · 发表于 2022-5-14 20:15:02

众生悟道发表于 2022-5-14 07:01
你说的对，你说的都对，电脑被破坏的事实摆在眼前，你都能变着法安慰自己，我还能说什么，记住啊，你说的 ...

首先你要搞明白这几个“病毒”的原理

那个C盘格式化，简单地调用系统命令删除文件，没什么技术含量
而那个 BSJ，主要是修改注册表和改系统时间

显示全部楼层 · 发表于 2022-5-14 20:20:04

a27573 发表于 2022-5-14 20:15
首先你要搞明白这几个“病毒”的原理

那个C盘格式化，简单地调用系统命令删除文件，没什么技术含量

你说的，没什么技术含量，说的跟玩似的，那么我问你，文件是不是被删除？系统是不是被破坏？杀软是不是没起到作用？你说这3个事实都发生了，你还在哪里扯理论，实践是检验真理的唯一标准，你不知道吗？

显示全部楼层 · 发表于 2022-5-14 20:22:26

00006666 发表于 2022-5-14 18:33
核晶防护是用来解决PG不让内核HOOK的问题的，目前来看解决自保问题挺有用的，特别是R3攻击杀软的自保拦截 ...

稍微想了下，如果只是对付 R3 的话，PPL + 对消息进行特殊处理应该能起到相同或更好的结果

之前 DoubleAgent 就只有用了 PPL 的杀软（或者说进程）防住了

显示全部楼层 · 发表于 2022-5-14 20:23:18

本帖最后由 a27573 于 2022-5-14 20:24 编辑

众生悟道发表于 2022-5-14 20:20
你说的，没什么技术含量，说的跟玩似的，那么我问你，文件是不是被删除？系统是不是被破坏？杀软是不是没 ...

稍微等我一下，我测一下 ESET（因为我没卡巴）

我敢说是因为我也能写个差不多的，当然，不是用易语言

显示全部楼层 · 发表于 2022-5-14 20:25:34

a27573 发表于 2022-5-14 20:22
稍微想了下，如果只是对付 R3 的话，PPL + 对消息进行特殊处理应该能起到相同或更好的结果

之前 Doubl ...

我那个是举个例子，核晶防护还有其他的功能，早期360没开核晶都拦不住模拟按键，前几天看到没开核晶的话HIPS就没拦截远程线程注入。

而且使用了VT这种东西差不多能实现降维打击的效果。

显示全部楼层 · 发表于 2022-5-14 20:27:51

00006666 发表于 2022-5-14 20:25
我那个是举个例子，核晶防护还有其他的功能，早期360没开核晶都拦不住模拟按键，前几天看到没开核晶的话H ...

按键模拟这个确实，我能想到的就是设置密码

VT 是好，但兼容性就。。。

显示全部楼层 · 发表于 2022-5-14 20:31:23

a27573 发表于 2022-5-14 20:27
按键模拟这个确实，我能想到的就是设置密码

VT 是好，但兼容性就。。。

新的硬件确实很多都不能开启那个功能，不过360那边的适配速度好像也挺快的，前几年还解决了同时开启核晶与第三方虚拟机的问题。

不过和内核隔离不兼容这个可能是无解的。

显示全部楼层 · 发表于 2022-5-14 20:35:48

swizzer 发表于 2022-5-11 13:14
我这里使用锁库智量（V3.06，静态特征2022/4/13，主防特征2022/5/10）测试，默认灵敏度下的主防即可完全 ...

突然想到一个问题，几年前有一种用模拟按键来远程关闭杀软的BUG，你有没有试试现在智量能不能防御这种攻击。

显示全部楼层 · 发表于 2022-5-14 20:37:08

00006666 发表于 2022-5-14 20:35
突然想到一个问题，几年前有一种用模拟按键来远程关闭杀软的BUG，你有没有试试现在智量能不能防御这种攻 ...

现在智量HIPS默认询问模拟按键操作···

显示全部楼层 · 发表于 2022-5-14 20:40:38

swizzer 发表于 2022-5-14 20:37
现在智量HIPS默认询问模拟按键操作···

R3 Hook 实现的吗？感觉可能能绕过

[病毒样本] 【非常凶悍，让所有主流杀软沦陷的病毒】