WHQL signed rootkit

显示全部楼层 · 发表于 2022-7-29 15:05:07

wwwab 发表于 2022-7-29 15:02
会拉白的

铁壳对rootkit确实不太行… 就算发现了，也不一定能清除的掉

显示全部楼层 · 发表于 2022-7-29 15:32:56

wwwab 发表于 2022-7-29 13:05
没问题啊，普通用户谁会用sc delete，你大街上随便问几个看看有谁知道不

而且我rootkit杀得多了，这种 ...

sc delete可还行。。。。注册表根本访问不了。。
说sc stop还好一点。。
两种结果，第一种作者里面不给停止，停止返回失败；第二种，作者没有想到有人会尝试sc stop，结果驱动突然卸载了，机子直接蓝屏重启

显示全部楼层 · 发表于 2022-7-29 16:03:36

tdsskiller 发表于 2022-7-29 15:32
sc delete可还行。。。。注册表根本访问不了。。
说sc stop还好一点。。
两种结果，第一种作者里面不给 ...

这你得@85683213 跟他说，那个家伙提出来的sc delete

反正我没真给rootkit试过，怕本来远程好好的给蓝了一遍没意思....

显示全部楼层 · 发表于 2022-7-29 16:05:11

本帖最后由 wwwab 于 2022-7-29 16:07 编辑

除了删除服务，用一下sc delete，或者停止开启服务用一下sc stop/start，我没另外研究过cmd sc的用法

反正也不需要（有的时候就是添乱嫌不够乱）

显示全部楼层 · 发表于 2022-7-29 16:17:09

本帖最后由 00006666 于 2022-7-29 16:18 编辑

tdsskiller 发表于 2022-7-29 15:32
sc delete可还行。。。。注册表根本访问不了。。
说sc stop还好一点。。
两种结果，第一种作者里面不给 ...

有些驱动木马它注册表没保护，确实可以sc删除…… @wwwab 去年那种一大堆随机数字名的驱动，有几个版本就可以这样处理…… 不过大多数情况肯定不行

https://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=2232802&pid=50812531&fromuid=1245210

显示全部楼层 · 发表于 2022-7-29 16:18:22

00006666 发表于 2022-7-29 16:17
有些驱动木马它注册没保护，确实可以sc删除…… @wwwab 去年那种一大堆随机数字名的驱动，有几个版本 ...

sc stop or delete能送走的都是只加载不工作的，一旦工作不可能正常卸载

显示全部楼层 · 发表于 2022-7-29 16:19:38

tdsskiller 发表于 2022-7-29 16:18
sc stop or delete能送走的都是只加载不工作的，一旦工作不可能正常卸载

那就不确定了，不过据落华无痕那边帮网友处理的时候，确实遇到过这种情况

显示全部楼层 · 发表于 2022-7-29 16:21:02

tdsskiller 发表于 2022-7-29 16:18
sc stop or delete能送走的都是只加载不工作的，一旦工作不可能正常卸载

除了垃圾ROOTKIT，你不可能从R3能送走他们。

显示全部楼层 · 发表于 2022-7-29 16:25:36

00006666 发表于 2022-7-29 16:19
那就不确定了，不过据落华无痕那边帮网友处理的时候，确实遇到过这种情况

在正常工作后，这些木马或多或少都有回调和hook。如果没有正常退出直接卸载的话，要么瞬间蓝屏，要么看到所有相关回调，挂钩全部变成未知模块，X64下100%触发patchguard，这貌似360安全播报讲过一个例子，具体是不是我已经忘了

显示全部楼层 · 发表于 2022-7-29 16:27:02

tdsskiller 发表于 2022-7-29 16:25
在正常工作后，这些木马或多或少都有回调和hook。如果没有正常退出直接卸载的话，要么瞬间蓝屏，要么看到 ...

有的rootkit我貌似直接卸载驱动蓝屏一次重启就挂了

有的rootkit直接卸载多少次蓝屏多少次都还在

[病毒样本] WHQL signed rootkit