Rootkit #CVE-2015-2291

显示全部楼层 · 发表于 2022-6-21 14:58:46

腾管16，miss

显示全部楼层 · 发表于 2022-6-21 15:21:28

00006666 发表于 2022-6-21 14:39
SF驱动木马，近期样本区能找到好几个近似的，前面wowocock发的帖子都是这种的

这类样本最近很活跃，而且有各种签名掩护。

显示全部楼层 · 发表于 2022-6-21 15:40:26

加载驱动

重启虚拟机

可以看到加载顺序7，木马驱动的常见行为

注册回调，拦截安全软件加载驱动(主要是拦截急救箱加载驱动)

木马驱动设置为隐藏的系统文件，带WHQL签名

测试急救箱

可以绕过回调，成功加载驱动

使用强力模式

可以看到强力模式驱动成功加载

蓝色强力模式，显示清除成功，但是并未成功清除

这里节约时间，手动选择停止扫描 (因为要测试红色强力模式)

重启虚拟机

可以看到急救箱驱动的加载顺序比木马驱动更早

红色强力模式成功清除

再次重启虚拟机后看不到木马驱动，可以确定已经清除

@swizzer @aboringman

显示全部楼层 · 发表于 2022-6-21 15:44:27

wowocock 发表于 2022-6-21 15:21
这类样本最近很活跃，而且有各种签名掩护。

话说急救箱有没有检测到这个驱动自动提示使用强力模式扫描，有些用户可能不知道勾选强力模式。

蓝色强力模式显示清除，实际没有清除，感觉也是个BUG

急救箱扫描日志:

显示全部楼层 · 发表于 2022-6-21 16:11:17

本帖最后由 wowocock 于 2022-6-21 16:15 编辑

00006666 发表于 2022-6-21 15:44
话说急救箱有没有检测到这个驱动自动提示使用强力模式扫描，有些用户可能不知道勾选强力模式。

蓝色强 ...

这木马线上版本的急救箱处理不掉，需要用新的替换同名文件后查杀即可。
链接：https://pan.baidu.com/s/1E0KEyJ9bfZnbPSNMOhd1pA
提取码：z5zl
BTW，由于现在C端测试资源不足，导致没法测试发布，只能手动下载处理了。SUPERKILLER直接替换，KEMON64放到FIX目录下替换即可。

显示全部楼层 · 发表于 2022-6-21 16:16:15

wowocock 发表于 2022-6-21 16:11
这木马线上版本的急救箱处理不掉，需要用新的替换同名文件后查杀即可。
链接：https://pan.baidu.com/s ...

我这里试了下，目前版本的急救箱，用红色强力模式还是可以清除的

显示全部楼层 · 发表于 2022-6-21 16:19:03

00006666 发表于 2022-6-21 16:16
我这里试了下，目前版本的急救箱，用红色强力模式还是可以清除的

估计你那里木马没怎么发挥作用，他和急救箱有很多对抗处理。甚至你在点急救箱的重启按钮的时候，急救箱会直接崩溃退出。

显示全部楼层 · 发表于 2022-6-21 16:20:15

wowocock 发表于 2022-6-21 16:19
估计你那里木马没怎么发挥作用，他和急救箱有很多对抗处理。甚至你在点急救箱的重启按钮的时候，急救箱会 ...

这个样本是不是反虚拟机？

显示全部楼层 · 发表于 2022-6-21 16:21:47

00006666 发表于 2022-6-21 16:20
这个样本是不是反虚拟机？

虚拟机里测试也是一样的。不过不排除他驱动有BUG，导致可能有些功能没起作用。

显示全部楼层 · 发表于 2022-6-21 16:24:06

eset miss

[病毒样本] Rootkit #CVE-2015-2291

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

评分