传奇私-Fu rootkit2x及释放程序

显示全部楼层 · 发表于 2022-7-28 18:17:41

ANY.LNK 发表于 2022-7-27 12:59
微软已将全部已知的恶意样本入库，为此还添加了一个新的报毒名
984610a8.sys 9f097877.sys>Trojan:Win64/R ...

微软给这些驱动签名都不审核的吗？给钱就送？？

显示全部楼层 · 发表于 2022-7-28 21:06:57

卡饭要因为你们famous in the world了

Fu rootkit家族来力

显示全部楼层 · 发表于 2022-7-28 21:10:50

tdsskiller 发表于 2022-7-28 21:06
卡饭要因为你们famous in the world了Fu rootkit家族来力

等以后有安全厂商出关于furootkit的报告

显示全部楼层 · 发表于 2022-7-28 21:12:34

00006666 发表于 2022-7-28 21:10
等以后有安全厂商出关于furootkit的报告

等以后有人推翻FiveSys Netfilter NetRedirect论，这些都是什么乱七八糟的名字，都是一个furootkit就能解决掉的问题

显示全部楼层 · 发表于 2022-7-29 02:26:26

New_Start. 发表于 2022-7-28 18:17
微软给这些驱动签名都不审核的吗？给钱就送？？

审核应该是有的，但可能利用了人的弱点。同一账户提交的大批同样文件名的驱动，有的掺了恶意代码，有的没有，再加个VMP壳防止对源码进行一一比对分析。提交一批白驱动让审核松懈后，再开始掺恶意代码。（之前遇到过这种样本）

以及，不清楚微软的驱动审核部门如何运作，但它和安全部门不是一个部门，二者间可能有信息往来，但并不总是沟通。安全部门拉黑入库某些驱动后，该签名却仍然有效。部分签名被吊销后，也有仍未入库的样本

显示全部楼层 · 发表于 2022-7-29 11:16:48

ANY.LNK 发表于 2022-7-29 02:26
审核应该是有的，但可能利用了人的弱点。同一账户提交的大批同样文件名的驱动，有的掺了恶意代码，有的没 ...

这样越来越多的WHQL签名木马，内核隔离还有什么用嘛，管理漏洞啊。

显示全部楼层 · 发表于 2022-7-29 11:25:02

New_Start. 发表于 2022-7-29 11:16
这样越来越多的WHQL签名木马，内核隔离还有什么用嘛，管理漏洞啊。

这你得跟微软部门说啊，然后你连人影都见不上

显示全部楼层 · 发表于 2022-7-29 12:05:39

ANY.LNK 发表于 2022-7-29 02:26
审核应该是有的，但可能利用了人的弱点。同一账户提交的大批同样文件名的驱动，有的掺了恶意代码，有的没 ...

内核隔离有用的，内核隔离下vmp的驱动不能加载，常规内核漏洞行不通了
但是dell还是牛逼，dell在手乱穿内核隔离，我都打算拉黑dell的全部驱动了

显示全部楼层 · 发表于 2022-7-29 12:17:00

tdsskiller 发表于 2022-7-29 12:05
内核隔离有用的，内核隔离下vmp的驱动不能加载，常规内核漏洞行不通了
但是dell还是牛逼，dell在手乱穿 ...

即使带WHQL驱动也无法加载了，对吗？

显示全部楼层 · 发表于 2022-7-29 15:26:44

ANY.LNK 发表于 2022-7-29 12:17
即使带WHQL驱动也无法加载了，对吗？

VMP的WHQL的话是的，wowocock在好几个帖子中讲过原理

[病毒样本] 传奇私-Fu rootkit2x及释放程序

评分

评分