rootkit 1x，360急救箱解决不了

显示全部楼层 · 发表于 2022-7-15 22:31:32

00006666 发表于 2022-7-15 22:22
重启后确认，驱动服务已经被清除了，但是不知道为什么会显示清除失败....

可能是删除注册表失败？比如注册表已经删了。

显示全部楼层 · 发表于 2022-7-15 22:57:36

本帖最后由 00006666 于 2022-7-15 23:01 编辑

落华无痕发表于 2022-7-15 22:31
可能是删除注册表失败？比如注册表已经删了。

具体原因暂时不知道，不过在个样本可能是挺新的，一个VT只有7家报，另外一个VT都没有.....

显示全部楼层 · 发表于 2022-7-16 08:46:29

00006666 发表于 2022-7-15 22:22
重启后确认，驱动服务已经被清除了，但是不知道为什么会显示清除失败....

木马的驱动注册表已经被删除了，但文件可能没删除，因为WIN10以后加载的驱动，不管是否起作用了，由于引用计数的问题，一般无法删除。360的文件穿越驱动不知为何没起作用。重启后，只要注册表没了，文件不加载，就可以删除了。

显示全部楼层 · 发表于 2022-7-16 08:49:58

00006666 发表于 2022-7-15 22:57
具体原因暂时不知道，不过在个样本可能是挺新的，一个VT只有7家报，另外一个VT都没有.....

有新样本你不发出来给人上报一下？

显示全部楼层 · 发表于 2022-7-16 09:14:24

wwwab 发表于 2022-7-16 08:49
有新样本你不发出来给人上报一下？

忘记复制样本了…… ，不过这个样本很强，急救箱蓝色强力模式扫描不出来，超级强力模式才扫描出来的，没有试过普通的红色强力模式能不能查杀。

两个样本好像都有WHQL签名。

显示全部楼层 · 发表于 2022-7-16 09:33:11

火绒kill
病毒名称：Rootkit/StartPage.q
病毒ID：9B458FB7467AFB21
病毒路径：C:\Users\Lenovo\Downloads\rootkit\LGB61wrm.sys
操作类型：修改
操作结果：已处理

进程ID：1428
操作进程：I:\Program Files (x86)\360\360zip\360zip.exe
操作进程命令行："I:\Program Files (x86)\360\360zip\360zip.exe" -s "C:\Users\Lenovo\Downloads\rootkit.zip" "C:\Users\Lenovo\Downloads\rootkit"
父进程：C:\Windows\System32\dllhost.exe

显示全部楼层 · 发表于 2022-7-16 09:35:34

我是个啥发表于 2022-7-16 09:33
火绒kill
病毒名称：Rootkit/StartPage.q
病毒ID：9B458FB7467AFB21

话说回来后面那个注册表是怎么回事

显示全部楼层 · 发表于 2022-7-16 09:38:31

我是个啥发表于 2022-7-16 09:35
话说回来后面那个注册表是怎么回事

rootkit的注册表，双击导入，再把sys复制到drivers目录，重启就会启动。

显示全部楼层 · 发表于 2022-7-16 10:06:29

00006666 发表于 2022-7-16 09:14
忘记复制样本了…… ，不过这个样本很强，急救箱蓝色强力模式扫描不出来，超级强力模式才扫描出来的，没 ...

哈希发下

显示全部楼层 · 发表于 2022-8-4 15:22:41

00006666 发表于 2022-7-16 09:14
忘记复制样本了…… ，不过这个样本很强，急救箱蓝色强力模式扫描不出来，超级强力模式才扫描出来的，没 ...

急救箱蓝色强力模式这个模式从哪里进呢

[病毒样本] rootkit 1x，360急救箱解决不了

本帖子中包含更多资源

本帖子中包含更多资源