rootkit 1x，360急救箱解决不了

显示全部楼层 · 发表于 2022-7-15 10:07:34

wwwab 发表于 2022-7-15 10:06
ark工具看不到

急救箱怎么直接打不开了

tdsskiller可以啊。

显示全部楼层 · 发表于 2022-7-15 10:09:03

落华无痕发表于 2022-7-15 10:07
tdsskiller可以啊。

不对，什么都打不开了

自从把急救箱那两个exe改名搬出来双击之后

显示全部楼层 · 发表于 2022-7-15 10:19:46

腾管16（不开BD），1x

显示全部楼层 · 发表于 2022-7-15 10:33:53

应该是干扰了急救箱写注册表，导致木马驱动加载到我们前面，可以用PCHUNTER摘下木马的CMPCALLBACK回调，然后再用急救箱扫描即可，不过按理急救箱里应该也会有处理，不知道为何漏了。可能要调试看看。

显示全部楼层 · 发表于 2022-7-15 10:40:47

我这边火绒专杀每次扫到两项就卡死不动了：

然后好不容易进了红色强力模式和超级强力模式，却发现病毒已经没了：

显示全部楼层 · 发表于 2022-7-15 11:06:09

本帖最后由 wwwab 于 2022-7-15 11:08 编辑

落华无痕发表于 2022-7-15 10:04
是有。还有急救箱检查出篡改ie自动配置脚本。

这个驱动用火绒剑看文件属性的时候会变成其他文件夹，然后关掉文件属性窗口文件列表就会被刷新

释放url的父进程为Windows资源管理器

显示全部楼层 · 发表于 2022-7-15 11:16:30

wwwab 发表于 2022-7-15 11:06
这个驱动用火绒剑看文件属性的时候会变成其他文件夹，然后关掉文件属性窗口文件列表就会被刷新
释 ...

procmon监控这个文件创建事件，explorer堆栈里有个无模块的线程，注入的代码吧。

显示全部楼层 · 发表于 2022-7-15 11:19:08

OMG，PE系统有这么难用吗

显示全部楼层 · 发表于 2022-7-15 11:47:06

huangzihang 发表于 2022-7-15 11:19
OMG，PE系统有这么难用吗

pe肯定是可以查杀，不过有很多小白用户不知道怎么使用PE，所以遇到这种急救箱不能查杀的样本最好是反馈给大肉鸡，更新解决以后，小白用户点开就能查杀

显示全部楼层 · 发表于 2022-7-15 12:11:53

Webroot：万年Malware.gen

[病毒样本] rootkit 1x，360急救箱解决不了