RooKit SYS 3X

显示全部楼层 · 发表于 2022-7-8 14:31:38

wowocock 发表于 2022-7-8 14:28
我本地试了下，不运行会重启，运行了就不会重启了。链接：https://pan.baidu.com/s/1jlP6sp5YjW99Q5lNxZ2 ...

奇怪

那台电脑只要运行360急救箱死活重启，所有方法和工具全部都用过了，只能进pe搞，然后剪切提取完样本文件又被换掉了

文件注册表都删了之后就不会重启了

显示全部楼层 · 发表于 2022-7-8 14:33:11

BD

JZDczC.sys is infected with Trojan.GenericKD.39829020

8nDMMl.sys is infected with Rootkit.Agent.AJKD

6vJvJl.sys is infected with Trojan.Agent.FTBL

显示全部楼层 · 发表于 2022-7-8 14:33:16

wwwab 发表于 2022-7-8 14:18
没用还是被重启了

openark不进内核模式看不到那个驱动

能正常查杀

显示全部楼层 · 发表于 2022-7-8 14:35:18

wowocock 发表于 2022-7-8 14:33
能正常查杀

现在有没有能够替代pchubter的工具

中毒的好多都是21h1，完全用不了ark

显示全部楼层 · 发表于 2022-7-8 14:39:07

wwwab 发表于 2022-7-8 14:35
现在有没有能够替代pchubter的工具

中毒的好多都是21h1，完全用不了ark

用WIN10的话，直接开内核隔离，基本带VMP的全挂。

显示全部楼层 · 发表于 2022-7-8 15:16:54

wwwab 发表于 2022-7-8 14:18
没用还是被重启了

openark不进内核模式看不到那个驱动

急救箱运行不了被删除请将我放到其他目录改名运行后再下载使用.exe不要放在原目录运行，把这个复制到其他目录改成1.exe再运行，无签名工具也需要这样运行，然后把急救箱主程序superkiller.exe改名成1.exe再启动急救箱

显示全部楼层 · 发表于 2022-7-8 15:17:27

00006666 发表于 2022-7-8 15:16
急救箱运行不了被删除请将我放到其他目录改名运行后再下载使用.exe不要放在原目录运行，把这个复制到其他 ...

这有啥区别

显示全部楼层 · 发表于 2022-7-8 15:18:21

wwwab 发表于 2022-7-8 15:17
这有啥区别

有的带文件名过滤，你不改名加载不了驱动

显示全部楼层 · 发表于 2022-7-8 15:20:01

wwwab 发表于 2022-7-8 14:18
没用还是被重启了

openark不进内核模式看不到那个驱动

先按我说的，换目录改名运行完无签名工具以后，把急救箱主程序superkillller.exe改名成1.exe再启动急救箱

显示全部楼层 · 发表于 2022-7-8 15:22:00

00006666 发表于 2022-7-8 15:20
先按我说的，换目录改名运行完无签名工具以后，把急救箱主程序superkillller.exe改名成1.exe再启动急救箱

真麻烦

[病毒样本] RooKit SYS 3X

本帖子中包含更多资源