驱动木马 #rootkit

00006666

驱动木马

https://t.wss.ink/f/8kea8fo61bh  密码: 11123171

aboringman

1. 2022-06-15 16:46:00     恶意软件(QVM00.1.97BF.Malware.Gen)MD5:65594dbacc04de70a33e206e229abf30    已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\test\mwe4nm.sys
   
2. 2022-06-15 16:45:59     恶意软件(Win64/Trojan.Generic.HgoAStIA)MD5:c617e96993236c75f77c7e957b39a8ad已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\test\ufdsvtiopuy.sys

复制代码

huangzihang

UfdsvtIopuy.sys is infected with Trojan.GenericKD.50442764 and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.

kuroandsan

Norton

mwe4nm.sys - Hacktool.Rootkit
ufdsvtiopuy.sys - Trojan.Gen.2

wangyaohenbang

时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2022/6/15 16:53:20;文件系统实时防护;文件;C:\Users\wy461\Desktop\mwe4nm.sys;Win32/Packed.VMProtect.ACR 特洛伊木马 的变量;已通过删除清除;NT AUTHORITY\SYSTEM;尝试通过应用程序访问文件时发生事件: C:\Windows\System32\SearchProtocolHost.exe (5102F669BDC0D473400B80C2DE372296BC9C1B54).;B2A812902B009856CACAD9953240305CAD1CBD0A;2022/6/15 16:53:12

时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2022/6/15 16:53:21;文件系统实时防护;文件;C:\Users\wy461\Desktop\UfdsvtIopuy.sys;Win32/GenCBL.VE 特洛伊木马 的变量;已通过删除清除;NT AUTHORITY\SYSTEM;尝试通过应用程序访问文件时发生事件: C:\Windows\System32\SearchProtocolHost.exe (5102F669BDC0D473400B80C2DE372296BC9C1B54).;DBEF8B54C91900992A3E286465223057CBDD22E7;2022/6/15 16:53:12

ESSP高启发开启

123456aaaafsdeg

毒霸miss all
360云

1. mwe4nm.sys -
   
2. Win32/Rootkit.Generic.GgsAStMA
   
3. UfdsvtIopuy.sys -
   
4. Win64/Trojan.Generic.HgoAStIA

复制代码

onedrive

kuroandsan 发表于 2022-6-15 00:48
Norton

mwe4nm.sys - Hacktool.Rootkit

一天换一个AV，会把自己心态搞坏

wowocock

冒充MSKSSRV.SYS得驱动？这玩意基本都能杀吧。

00006666

wowocock 发表于 2022-6-15 17:08
冒充MSKSSRV.SYS得驱动？这玩意基本都能杀吧。

从带毒激活工具弄出来的，也是个老木马，看着驱动的时间挺新的就发样本区了，确实应该基本都能查杀。

不过32位那个驱动(mwe4nm.sys)  ， 360云端拉黑的是高风险，不知道会不会影响查杀。

wowocock

00006666 发表于 2022-6-15 17:11
从带毒激活工具弄出来的，也是个老木马了，确实应该基本都能查杀。

不过32位那个驱动(mwe4nm.sys)  ， ...

不影响查杀吧，不过也可以干黑。