Rootkit #CVE-2015-2291

显示全部楼层 · 发表于 2022-6-21 21:18:05

遨游宇宙发表于 2022-6-21 19:48
你是怎么做大界面又是中文又是英文的

实体机的诺顿用的中文。。

显示全部楼层 · 发表于 2022-6-21 21:20:49

md kill

显示全部楼层 · 发表于 2022-6-22 01:25:15

联管1x

显示全部楼层 · 发表于 2022-6-22 05:18:20

微软目前机器学习清空了Trojan:Win32/Ulthar.A!ml
另外，有驱动样本没？@00006666

显示全部楼层 · 发表于 2022-6-22 08:07:47

00006666 发表于 2022-6-21 17:25
急救箱太有名了，然后技术又够强，就容易被针对，不针对急救箱的话那些木马驱动没办法存活……，做内核对 ...

你猜大肉鸡头上还有多少根头发？

显示全部楼层 · 发表于 2022-6-22 12:15:57

swizzer 发表于 2022-6-21 14:30
管理员身份运行，样本成功加载驱动，智量主防无反应。

非管理员身份运行，智量内存防护识别为 MEMRAY:Ma ...

由于驱动有正常微软签名，拦截会比较谨慎一些，用户可以暂时使用一些自定义规则拦截驱动加载行为。后续我们会研究如何增强此类威胁的拦截

显示全部楼层 · 发表于 2022-6-22 12:36:21

ANY.LNK 发表于 2022-6-22 05:18
微软目前机器学习清空了Trojan:Win32/Ulthar.A!ml
另外，有驱动样本没？@00006666

之前卡饭样本区应该有，大多数杀软都入库了

https://www.virustotal.com/gui/f ... a140e4970/detection

显示全部楼层 · 发表于 2022-6-22 12:50:34

智量官方发表于 2022-6-22 12:15
由于驱动有正常微软签名，拦截会比较谨慎一些，用户可以暂时使用一些自定义规则拦截驱动加载行为。后续我 ...

释放驱动的EXE本身是没有签名的(无效数签)，应该可以从这里来拦截吧

显示全部楼层 · 发表于 2022-6-22 18:10:30

显示木马呀

显示全部楼层 · 发表于 2022-6-25 11:19:40

智量扫描kill all

[病毒样本] Rootkit #CVE-2015-2291