最新RootKit SYS 11X

显示全部楼层 · 发表于 2022-5-29 21:04:25

00006666 发表于 2022-5-29 20:59
我这里用WIN10测试了几次，其中有几次急救箱是在加载深度木马专杀那里就直接弹窗提示进入PE查杀，有几次 ...

咋样我没骗你吧

显示全部楼层 · 发表于 2022-5-29 21:06:32

wwwab 发表于 2022-5-29 21:04
咋样我没骗你吧

前面就说了，会拦截急救箱加载驱动，因为我用ARK看不到fswriteback64.sys驱动加载，至于无签名工具有没有效果还真没试过……

显示全部楼层 · 发表于 2022-5-29 21:07:39

00006666 发表于 2022-5-29 20:59
我这里用WIN10测试了几次，其中有几次急救箱是在加载深度木马专杀那里就直接弹窗提示进入PE查杀，有几次 ...

网络正常不，多等一会儿

云控RootKit，要等配置下下来解密完才能出来完整行为，一般中毒机子行为老早就是完整的了

显示全部楼层 · 发表于 2022-5-29 21:09:43

00006666 发表于 2022-5-29 21:06
前面就说了，会拦截急救箱加载驱动，因为我用ARK看不到fswriteback64.sys驱动加载，至于无签名工具有没有 ...

你用的虚拟机吗，听tdsskiller说他那边加载RootKit之后检测到虚拟机会尝试删除系统驱动

显示全部楼层 · 发表于 2022-5-29 21:10:14

wwwab 发表于 2022-5-29 21:09
你用的虚拟机吗，听tdsskiller说他那边加载RootKit之后检测到虚拟机会尝试删除系统驱动

我用的实体机测试，配合影子系统，如果被穿了就重装，问题不大。

所以不能测试红色强力模式。

显示全部楼层 · 发表于 2022-5-29 21:11:15

00006666 发表于 2022-5-29 21:10
我用的实体机测试，配合影子系统，如果被穿了就重装，问题不大。

你试试用虚拟机加载重启系统会不会挂掉

显示全部楼层 · 发表于 2022-5-29 21:12:28

wwwab 发表于 2022-5-29 21:11
你试试用虚拟机加载重启系统会不会挂掉

现在身边没有虚拟机条件。

显示全部楼层 · 发表于 2022-5-30 16:16:45

本帖最后由 00006666 于 2022-5-30 16:43 编辑

tdsskiller 发表于 2022-5-28 14:49
拉黑火绒，火绒内核对抗不是0吗？做个人吧，我看看能不能dump
看了一下，老木马了，到现在还在经营可还行
...

样本是不是会把自身信息劫持到一个系统DLL上面去，启动顺序3的那个。

------------------

然后重新试了下，好像换劫持对象了，这个样本每次劫持的驱动对象好像不一样

显示全部楼层 · 发表于 2022-5-30 17:29:29

00006666 发表于 2022-5-30 16:16
样本是不是会把自身信息劫持到一个系统DLL上面去，启动顺序3的那个。

------------------

虚拟机可能测试时间不足，win10-1909,无其他动作，就只有重启复活

显示全部楼层 · 发表于 2022-5-30 18:01:38

本帖最后由 00006666 于 2022-5-30 18:05 编辑

tdsskiller 发表于 2022-5-30 17:29
虚拟机可能测试时间不足，win10-1909,无其他动作，就只有重启复活

楼主发的包里面有两种不同的驱动，其中一个加载后会劫持系统驱动，我是用WIN10实体机+影子系统测试的。

[病毒样本] 最新RootKit SYS 11X