WHQL signed rootkit

显示全部楼层 · 发表于 2022-7-29 12:52:36

本帖最后由 00006666 于 2022-7-29 12:54 编辑

ANY.LNK 发表于 2022-7-29 12:50
主页保安系列？

现在很多sf驱动都是检测到急救箱就直接重启等，目的是对抗急救箱，防止急救箱进入红色强力模式，不过如果运行急救箱之前先运行无签名工具(放其他目录改名运行)，然后把急救箱主程序superkillller.exe改成随机名(比如1.exe)再启动，很多时候可以就绕开这类对抗

显示全部楼层 · 发表于 2022-7-29 12:53:21

就服你们，是个rootkit的帖子就能怼到七八十层楼

显示全部楼层 · 发表于 2022-7-29 12:56:01

00006666 发表于 2022-7-29 12:52
现在很多sf驱动都是检测到急救箱就直接重启等，目的是对抗急救箱，防止急救箱进入红色强力模式，不过如果 ...

重启还算好了的，直接patch guard蓝掉就真不好搞

不过很多既不重启也不蓝屏，就是急救箱驱动病毒拦截加载不上去不让加载是最多的

显示全部楼层 · 发表于 2022-7-29 12:57:17

wwwab 发表于 2022-7-29 12:56
重启还算好了的，直接patch guard蓝掉就真不好搞

不过很多既不重启也不蓝屏，就是急救箱驱动病 ...

如果遇到急救箱驱动加载不上去的，一般情况，你先运行无签名工具(换其他目录改名运行，不改名可能被拦截)，然后再打开急救箱就可以解决了

显示全部楼层 · 发表于 2022-7-29 12:57:33

本帖最后由 85683213 于 2022-7-29 13:01 编辑

wwwab 发表于 2022-7-29 12:51
他在r0，你让他重启删除，他不把你按在地上摩擦就算不错了

更有甚者检测到可疑的直接给你patch gu ...

提醒一下，我回覆的是你说的「都是驱动了哪个普通用户能直接看到删除的」，你把所有驱动都概括我当然不同意

所以驱动又不一定有这种行为，「普通驱动」当然就是重启删除

如果失去上下文就没有讨论意义了

显示全部楼层 · 发表于 2022-7-29 12:58:06

85683213 发表于 2022-7-29 12:41
所以我问驱动有没有这些「隐藏自身」的功能啊，没有的话随便就能删除，怎么会叫 Rootkit

而且没人叫你 ...

R0里的东西，阴间手段多了去了。

关机/重启回调回写、启动组提前加保护拦截删除。R0 R3互保互相回写，等等

另外，重启删除基本都是安全软件或某些专业工具干的事，通过部分有限的内核对抗实现的，而且还不一定有效

显示全部楼层 · 发表于 2022-7-29 12:59:50

ANY.LNK 发表于 2022-7-29 12:58
R0里的东西，阴间手段多了去了。

关机/重启回调回写、启动组提前加保护拦截删除。R0 R3互保互相回写， ...

ark工具，尤其是pchunter，大部分rootkit，休想加载

显示全部楼层 · 发表于 2022-7-29 13:01:10

00006666 发表于 2022-7-29 12:52
现在很多sf驱动都是检测到急救箱就直接重启等，目的是对抗急救箱，防止急救箱进入红色强力模式，不过如果 ...

有的不是检测文件名，内存特征码检测这种手段也有，搞这些驱动的一般也有这种技术，取决于他们想不想用而已

显示全部楼层 · 发表于 2022-7-29 13:03:29

ANY.LNK 发表于 2022-7-29 13:01
有的不是检测文件名，内存特征码检测这种手段也有，搞这些驱动的一般也有这种技术，取决于他们想不想用而 ...

它们主要是用内核回调拦截急救箱加载驱动(包括自保驱动)，急救箱的几个驱动本身也很阴间，如果加载成功可以对抗这类内存特征码检测等，所以要先运行无签名工具安排掉内核回调，在运行急救箱superkilller.exe就可以正常查杀了，不过有些时候无签名工具本身的驱动也加载不起来。

显示全部楼层 · 发表于 2022-7-29 13:04:31

85683213 发表于 2022-7-29 12:57
提醒一下，我回覆的是你说的「都是驱动了哪个普通用户能直接看到删除的」，如果失去上下文就没有讨论意义 ...

就算是普通驱动，也未必可以。有些正常功能实现需要驱动的长期驻留，重启也删不了

[病毒样本] WHQL signed rootkit