WHQL signed rootkit

显示全部楼层 · 发表于 2022-7-29 11:15:48

85683213 发表于 2022-7-29 11:02
加载后一般用户能不能直接看到和删除驱动？

本帖这个驱动我没测试过，不太了解，我前面说的是私-Fu驱动木马的普遍特征

显示全部楼层 · 发表于 2022-7-29 11:22:03

00006666 发表于 2022-7-29 11:15
本帖这个驱动我没测试过，不太了解，我前面说的是私-Fu驱动木马的普遍特征

都是驱动了哪个普通用户能直接看到删除的

最起码也要摘掉钩子，用ark卸载，删除加载注册表，然后再删除驱动文件

普通用户你行你上

而且传奇私-Fu的驱动木马，只要exe下放了配置，哪个不得用专杀急救箱急救盘pe，你直接卸载不蓝屏你行你上

显示全部楼层 · 发表于 2022-7-29 11:37:51

wwwab 发表于 2022-7-29 11:22
都是驱动了哪个普通用户能直接看到删除的

最起码也要摘掉钩子，用ark卸载，删除加载注册表，然后再删 ...

正常情况是这样的，但是比如本帖这个样本，我没测试过，万一没啥对抗然后注册表直接就能删除……，所以只能说一般情况都是这样……

显示全部楼层 · 发表于 2022-7-29 11:48:16

00006666 发表于 2022-7-29 11:37
正常情况是这样的，但是比如本帖这个样本，我没测试过，万一没啥对抗然后注册表直接就能删除……，所以只 ...

之前的样本没有配置直接加载不也出现过这种，同一个驱动文件exe释放了配置再加载的就怎么也干不掉了

显示全部楼层 · 发表于 2022-7-29 12:05:43

wwwab 发表于 2022-7-29 11:22
都是驱动了哪个普通用户能直接看到删除的

最起码也要摘掉钩子，用ark卸载，删除加载注册表，然后再删 ...

哪有这么难，普通驱动一个 sc delete 就删除了

现在的问题是如果有 FSFilter 或 Minifilter 来隐藏驱动，微软 WHQL 真的这么难发现这些不符合宣称的功能吗

显示全部楼层 · 发表于 2022-7-29 12:10:54

85683213 发表于 2022-7-29 12:05
哪有这么难，普通驱动一个 sc delete 就删除了

现在的问题是如果有 FSFilter 或 Minifilter 来隐藏驱 ...

想多了吧

这类的都是bootstart，group都是system reserved，必须放在C:\Windows\System32\drivers下这加载，你用sc delete？？？

显示全部楼层 · 发表于 2022-7-29 12:16:53

显示全部楼层 · 发表于 2022-7-29 12:18:45

kuroandsan 发表于 2022-7-29 12:16

我印象里铁壳好像从来没入库过whql rootkit（上报？针对whql rootkit，没用的），哦对不过拉白过

显示全部楼层 · 发表于 2022-7-29 12:22:57

85683213 发表于 2022-7-29 12:05
哪有这么难，普通驱动一个 sc delete 就删除了

现在的问题是如果有 FSFilter 或 Minifilter 来隐藏驱 ...

您去研发一款杀软
想必能够斩杀世间所有病毒

显示全部楼层 · 发表于 2022-7-29 12:25:43

wwwab 发表于 2022-7-29 12:10
想多了吧

这类的都是bootstart，group都是system reserved，必须放在C:\Windows\System32\drivers下这 ...

start type, group, location 都不影响 sc delete 啊，更何况这些都不是命名 Rootkit 的理由

[病毒样本] WHQL signed rootkit