木马从网上下载WHQL ROOTKIT加载，国内基本全过

显示全部楼层 · 发表于 2022-6-13 18:18:18

飞塔：

Based on our initial analysis, the samples contain malicious code and warrant the following detection:
"kemon.sys" - MD5: cc713669a37d131fe83ccb447fb88e48 - W32/Agent.19CC!tr
"kemon64.sys" - MD5: d8f05b0b7835aeaf22972a0114ec7ed5 - W64/Agent.98C8!tr

显示全部楼层 · 发表于 2022-6-13 18:25:23

anthonyqian 发表于 2022-6-13 10:18
飞塔：

Based on our initial analysis, the samples contain malicious code and warrant the followin ...

这是急救箱的驱动。。。。按照误报再上报一遍吧

显示全部楼层 · 发表于 2022-6-13 18:26:42

Jirehlov1234 发表于 2022-6-13 18:25
这是急救箱的驱动。。。。按照误报再上报一遍吧

啊这。。。懒得搞了

显示全部楼层 · 发表于 2022-6-13 18:27:00

本帖最后由 Tom179090 于 2022-6-13 18:30 编辑

编辑，理解错误。

显示全部楼层 · 发表于 2022-6-13 18:32:35

一楼VT的样本

显示全部楼层 · 发表于 2022-6-13 18:32:53

本帖最后由 00006666 于 2022-6-13 18:35 编辑

VT 那个样本 360云拉黑 Trojan.Generic

显示全部楼层 · 发表于 2022-6-13 18:35:03

Jirehlov1234 发表于 2022-6-13 18:32
一楼VT的样本

显示全部楼层 · 发表于 2022-6-13 18:41:22

anthonyqian 发表于 2022-6-13 18:18
飞塔：

Based on our initial analysis, the samples contain malicious code and warrant the followin ...

急救箱的驱动做了各种对抗，确实容易被看成恶意

显示全部楼层 · 发表于 2022-6-13 18:45:52

本帖最后由 00006666 于 2022-6-13 18:49 编辑

lvseqiji 发表于 2022-6-13 18:41
急救箱的驱动做了各种对抗，确实容易被看成恶意

带了Qihu和WHQL的签名，如果是卡巴斯基那种基本都是直接信任的，也就不会被误报。

显示全部楼层 · 发表于 2022-6-13 19:37:47

996737ccaad6877bed0170e2b12373a8e00e365a93e825d416033d912aaaed5c这个是downloader/dropper exe

目前的释放的WHQL sys驱动是89512dc510da375ed93a2ad340de85b7db7faee1f0fe21c04189e85a140e4970(原始文件名00486971323699231)

[病毒样本] 木马从网上下载WHQL ROOTKIT加载，国内基本全过

评分

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块