Rootkit本体

显示全部楼层 · 发表于 2022-9-2 10:08:32

出来3，4个月了，拉黑很正常，人家改改继续WHQL，又是默秒全。

显示全部楼层 · 发表于 2022-9-2 10:13:24

腾管16，1x

显示全部楼层 · 发表于 2022-9-2 11:17:53

wangyuhe 发表于 2022-9-1 20:21
Avast浏览这个页面时就弹窗了，这是啥原理

这不是我用来放图片的网站么，为什么能进黑名单。

我的个人签名上的ESET logo就是直接从这个网站载入的...

显示全部楼层 · 发表于 2022-9-2 13:25:34

不知道这个rootkit咋运行，是不是要修改为后缀sys然后用特殊软件调动起来。这里改了exe，无法运行。360和腾讯kill。

显示全部楼层 · 发表于 2022-9-2 13:57:04

UNknownOoo 发表于 2022-9-1 21:49
MalBehavior报法似乎有特征也有拉黑（我之前那个远控样本拉黑后关文件监控扫描也是这个报法，加了个upx壳 ...

如果一个可执行程序是恶意的并且不是由explorer.exe启动，智量主防就会联动病毒库对这个可执行程序扫描，报法就是MalBehavior.B。

有时候本体扫描不杀，双击后衍生物却被MalBehavior.B杀了，这时候你去扫描衍生物，就会发现扫描也是可以杀衍生物的。

其他的MalBehavior报法应该也是联动静态特征的报法，但是暂不清楚触发机制。

显示全部楼层 · 发表于 2022-9-2 15:08:52

本帖最后由 UNknownOoo 于 2022-9-2 15:33 编辑

swizzer 发表于 2022-9-2 13:57
如果一个可执行程序是恶意的并且不是由explorer.exe启动，智量主防就会联动病毒库对这个可执行程序扫描， ...

感谢告知~

显示全部楼层 · 发表于 2022-9-2 15:18:34

jerry6341 发表于 2022-9-2 13:25
不知道这个rootkit咋运行，是不是要修改为后缀sys然后用特殊软件调动起来。这里改了exe，无法运行。360和腾 ...

运行附件，即可中毒，急救箱需要更新FIX目录下的同名驱动才能处理，https://bbs.kafan.cn/thread-2242029-2-1.html

显示全部楼层 · 发表于 2022-9-2 17:45:34

wowocock 发表于 2022-9-2 15:18
运行附件，即可中毒，急救箱需要更新FIX目录下的同名驱动才能处理，https://bbs.kafan.cn/thread-2242029 ...

主楼的这个rootkit我测试急救箱是可直接处理的

显示全部楼层 · 发表于 2022-9-2 18:02:57

123456aaaafsdeg 发表于 2022-9-2 17:45
主楼的这个rootkit我测试急救箱是可直接处理的

运行附件EXE这个，加载的驱动不行，木马驱动有很多配置，早期的配置可以，后期加了保护配置，需要使用新驱动才行，虽然只改了2行代码。

显示全部楼层 · 发表于 2022-9-2 19:10:02

金山毒霸

[病毒样本] Rootkit本体

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源