MD的驱动对抗能力如何？

显示全部楼层 · 发表于 2022-5-19 23:49:09

作死搞坏电脑，重装系统后决定还是不折腾了，就MD开ASR了。

那么问题来了，MD的驱动对抗能力如何？对rootkit的处理能力如何？

在好奇要不要常备一个360的急救箱做备用（其实我倒是有点想把急救箱当作日常杀软的…）

显示全部楼层 · 发表于 2022-5-20 00:23:17

本帖最后由 00006666 于 2022-5-20 00:25 编辑

MD可以进入脱机模式查杀RKT，足够对付大多数的驱动木马。

显示全部楼层 · 发表于 2022-5-20 00:45:00

WDO能处理
但是WD本身对抗极弱
都不用说驱动 ring3注入白进程绕WD都一片一片的了。。。

显示全部楼层 · 发表于 2022-5-20 01:13:14

你的日常使用过程中真的会大量遇到非常新鲜的APT或者驱动样本么

这才是更重要的

显示全部楼层 · 发表于 2022-5-20 07:39:42

要相信Windows defender。

显示全部楼层 · 发表于 2022-5-20 10:07:36

没什么戏，但是也没必要这样做，天天驱动硬刚你不怕蓝屏吗。。。

显示全部楼层 · 发表于 2022-6-5 01:00:53

关于它的驱动对抗好不好只能说是见仁见智了。
配置为（UEFI+GPT引导）Secure boot+固件反刷写+TPM 2.0+Trusted boot+ELAM最高级别+内核隔离+最高级别的MD配置基本上可以对付绝大部分的Rootkit。
微软在这里写了详细的说明：https://docs.microsoft.com/zh-cn ... ows-10-boot-process

此外，在实战中例如对2018年的“主页保安”Rootkit这样的强对抗驱动木马时在ELAM开到最大级别的情况下仅需一次重启即可彻底清除该Rootkit，但在默认的配置下就无法检出。详情：https://bbs.kafan.cn/thread-2211328-1-1.html
另一个同样来自2018年的嵌套式Rootkit（母体驱动Loader>2个子驱动Rootkit>R3exe）能在默认情况下检出，但无法通过重启彻底清除，需要脱机版协助。
此外，在样本区的其他测试中一般不需要特殊设置即可检出并清除。但是我注意到一些会利用R3exe进行回写驱动的样本在一定程度上可以规避或对抗一般的重启清除，对于这些R0 R3互保的可能会出现反复报毒的情况。
另外部分Rootkit会通过锁死启动组的方式阻止进入脱机版扫描

某些高级恶意软件会通过漏洞劫持安全软件驱动或利用漏洞保护自身（例如隐魂bootkit），涉及到多款安全软件，但这样的恶意软件很少。

总之，一般的Rootkit对抗够用了，但真正的威胁来了的时候，谁也挡不住

[讨论] MD的驱动对抗能力如何？