即使2016年往后的无效签名证书，仍能在新版Windows 10上加载

显示全部楼层 · 发表于 2022-7-27 22:12:34

本帖最后由 ANY.LNK 于 2022-7-28 00:35 编辑

偶然间看到的：https://www.bilibili.com/video/BV1CY4y1E7fD

可以看到此程序在加载驱动的情况下成功结束了多款安全软件的进程

下载完毕，解压后的驱动有无效签名

值得注意的是：上述签名时间戳均在2022年，远超微软官方所述的2016年的最后期限，但是仍能在新版Windows 10上加载。

补充：在我本地测试时驱动加载失败，但是驱动兼容性检测报告为内核隔离>内存完整性阻止了加载（Microsoft Defender实时保护已暂时禁用）

依据同视频下b站用户“雪域之宾”在评论区的测试，关闭内核隔离可正常加载并结束MD的进程

了解更多↓

所以：微软的无效驱动签名能加载进Windows内核的有效时间不只至2016年，而之前的更新阻止无效签名加载可能是拉黑了一部分经常被恶意软件所利用的签名，并没有彻底封死那些不符合其文档要求的驱动的加载条件。

附件https://pan.huang1111.cn/s/Kk2dsY，密码是1

显示全部楼层 · 发表于 2022-7-27 22:41:41

卡巴斯基扫描双击均不拦截。
B站7月3号就使用了，卡巴斯基居然没拉黑

显示全部楼层 · 发表于 2022-7-27 23:20:03

本帖最后由 00006666 于 2022-7-27 23:22 编辑

正常情况下，杀软会拦截恶意程序加驱行为，所以这种先加驱，再测试结束杀软进程的测试其实没有意义，如果是测试灰进程绕过杀软添加驱动的话会比较有意义

显示全部楼层 · 发表于 2022-7-27 23:26:04

fzp070 发表于 2022-7-27 22:41
卡巴斯基扫描双击均不拦截。
B站7月3号就使用了，卡巴斯基居然没拉黑

卡巴斯基可能默认不拦截驱动加载，要手动开HIPS

显示全部楼层 · 发表于 2022-7-27 23:26:33

00006666 发表于 2022-7-27 23:20
正常情况下，杀软会拦截恶意程序加驱行为，所以这种先加驱，再测试结束杀软进程的测试其实没有意义，如果是 ...

其实重要的不是视频内容去结束安全软件，关键是Windows自己的内核安全措施驱动签名认证按官方文档的说法应该是禁止此类驱动的加载的，这与是否有安全软件无关。然而该驱动却成功加载并起到了效果，证明Windows驱动签名认证措施出了问题

显示全部楼层 · 发表于 2022-7-27 23:32:35

ANY.LNK 发表于 2022-7-27 23:26
其实重要的不是视频内容去结束安全软件，关键是Windows自己的内核安全措施驱动签名认证按官方文档的说法 ...

微软那边要考虑兼容性，不可能拦截所有无效签名驱动加载，会放过这些驱动其实在意料之中。

不过现在大多数在野的rootkit都用WHQL签名，我之前遇到的新RKT，基本都是WHQL签名，对于RKT来说，无效签名就算能加载，也过不了杀软扫描，反而还更容易被检测，所以木马作者通常都会想办法使用WHQL签名……

显示全部楼层 · 发表于 2022-7-27 23:44:34

00006666 发表于 2022-7-27 23:32
微软那边要考虑兼容性，不可能拦截所有无效签名驱动加载，会放过这些驱动其实在意料之中。

不过现在大 ...

怎么说呢，考虑兼容性是一方面，但是微软在文档里明确说了2016年前的无效签名才能加载。这个2022年的无效签名驱动，按理说是不在微软考虑的兼容范围内的。

WHQL ROOTKIT的流行度在上升，无效签名的驱动会减少，但微软对此方面还是得提升关注度……

显示全部楼层 · 发表于 2022-7-27 23:58:01

本帖最后由 00006666 于 2022-7-29 12:59 编辑

刚刚试了下，这个程序根据名字杀进程且禁止复活是用CreateProcess通知实现的

0xFFFFF8073DED10B0 CreateProcess C:\Users\Administrator\Desktop\新建文件夹\processkiller_passwd_1 (1)\processkiller_passwd_1\ProcessKiller.sys

有的杀毒软件，比如说急救箱这类的，可以用辅助工具运行后安排掉这类通知，然后该功能 "根据名字杀进程且禁止复活" 就无效了

显示全部楼层 · 发表于 2022-7-28 00:19:00

那个期限是证书的签发日期不是签名到驱动程序上的日期

显示全部楼层 · 发表于 2022-7-28 00:21:31

本帖最后由 00006666 于 2022-7-28 00:26 编辑

编辑，回复错了

[讨论] 即使2016年往后的无效签名证书，仍能在新版Windows 10上加载

本帖子中包含更多资源

本帖子中包含更多资源

评分