原神反作弊驱动在野白利用 #ransomware

显示全部楼层 · 发表于 2022-8-25 20:02:07

本帖最后由 Jirehlov1234 于 2022-8-25 12:03 编辑

趋势的文：https://www.trendmicro.com/en_us ... kill-antivirus.html

File name       SHA-1                                              Detection name

avg.msi       274685C591E96CB1F9CAE91EC8E7073F3A4CB113       Trojan.Win32.BABUK.YACGY

avg.exe       D4FFD891B9FC1AE212489ABBA43D76E2D58E6782       Trojan.Win32.BABUK.A

svchost.exe F47D9EC9C2515761E2BC40287B299420A86AF6AB       Ransom.Win32.BABUK.YACGY

mhyprot2.sys 0466E90BF0E83B776CA8716E01D35A8A2E5F96D3       N/A

logon.bat    1ED1174E6E5545AAA081A480156485156B9D3A13       Trojan.BAT.BABUK.YACGY

HelpPane.exe 2CF9376B057E187B9F465BDAF1C50FDBA9BA66E6       Trojan.Win32.KILLAV.WLEBB

kill_svc.exe    ccb219be156551464a2b91dfc5cddaf0c3e8321f             Trojan.Win32.KILLAV.WLEBB

b.bat             7617511adda7cb03f317f0df61624b5ecbffcd87             Trojan.BAT.KILLAV.WLEBB

样本一个也没公开就是了。。。

显示全部楼层 · 发表于 2022-8-25 20:03:39

要样本也没什么大用处了吧......感觉杀软都拉黑签名了

显示全部楼层 · 发表于 2022-8-25 21:17:52

我的评价是不如avast的驱动，可能觉得原比较火抓住原的白名单骚一把

显示全部楼层 · 发表于 2022-8-25 21:43:13

其实这种KillAV或者DetectAV的样本，你看他检测的是哪些AV，就可以基本确定作者的防病毒软件选择倾向，还有就是作者可能是哪些国家的人，不可能是哪些国家的人

国产病毒检测的配置一般有：360、腾讯、金山毒霸、火绒、（2345），这种一看就是国人写的病毒

而如果检测的是卡巴斯基、比特梵德、（赛门铁克）这种配置，就是老外，而且喜欢挑战高水准

该样本则是检测eset、赛门铁克、骚护士、360ts，我想应该跟病毒作者的防病毒软件选择倾向和处所的国家有关系，反正不可能就是国人写的病毒

如果是只检测大蜘蛛、卡巴斯基则更像是毛子的病毒作者或者来自Ukraine的病毒作者

显示全部楼层 · 发表于 2022-8-25 21:52:44

tdsskiller 发表于 2022-8-25 21:17
我的评价是不如avast的驱动，可能觉得原比较火抓住原的白名单骚一把

26522和26523的确够厉害,藏在反rootkit驱动程序里

显示全部楼层 · 发表于 2022-8-25 22:38:38

anxiety520 发表于 2022-8-25 21:52
26522和26523的确够厉害,藏在反rootkit驱动程序里

某人曾经说过，那些第三世界的杀软，一个个嘛

就连某杀软也是经不起pwn

显示全部楼层 · 发表于 2022-8-25 22:45:04

tdsskiller 发表于 2022-8-25 22:38
某人曾经说过，那些第三世界的杀软，一个个嘛就连某杀软也是经不起pwn

哪个人说的?

显示全部楼层 · 发表于 2022-8-25 22:54:59

本帖最后由 tdsskiller 于 2022-8-25 22:57 编辑

anxiety520 发表于 2022-8-25 22:45
哪个人说的?

一个俄罗斯人，点名了一些
btw，针对杀软的pwn比较少，大家的pwn对象都在anticheat上

针对杀软的pwn国人的样本可能更多一些，看到现在在野样本，就360没看到确切的东西，其余的应该都被人搞过，具体哪些我不能说
老外针对卡巴和avast比较突出，都是被人公开讨论的例子

显示全部楼层 · 发表于 2022-8-25 23:02:59

tdsskiller 发表于 2022-8-25 22:54
一个俄罗斯人，点名了一些
btw，针对杀软的pwn比较少，大家的pwn对象都在anticheat上

我倒是avast听得比较多

卡巴的有哪些来着,我去了解一下

显示全部楼层 · 发表于 2022-8-25 23:11:30

anxiety520 发表于 2022-8-25 23:02
我倒是avast听得比较多卡巴的有哪些来着,我去了解一下

卡巴的虚拟化驱动，各个驱动的回调，在野样本只看见过开源的虚拟化驱动利用，其余驱动只是有人一直说https://www.unknowncheats.me/for ... ky-edr-drivers.html

特别说一下，你去看看vt，很多杀软驱动被以随机名形式上传

[其他相关] 原神反作弊驱动在野白利用 #ransomware

浏览过的版块