今日份RootKit

显示全部楼层 · 发表于 2022-10-29 17:32:34

wwwab 发表于 2022-10-29 17:05
这个倒是没事儿，hook回调和加载注册表都被干掉了，剩下来的驱动文件都是没有被加载状态下的，可以直接被 ...

那就把logs发上来把~

显示全部楼层 · 发表于 2022-10-29 17:38:08

123456aaaafsdeg 发表于 2022-10-29 17:32
那就把logs发上来把~

这都杀完了哪来logs，我还是第一次知道这个参数，之前提过好几次不肯加logs也不肯透露有关logs的信息，去求助的也都是不会的只问出来过火绒工程师进pe替换注册表config\system文件

显示全部楼层 · 发表于 2022-10-29 17:39:02

123456aaaafsdeg 发表于 2022-10-29 16:49
用-log模式运行的日志（以前火绒专杀无法清除某Rootkit的日志）
FilePath和Hooks很清楚了

我怕你这一发上来下个版本专杀直接把参数给修改掉了

显示全部楼层 · 发表于 2022-10-29 17:39:50

wwwab 发表于 2022-10-29 17:38
这都杀完了哪来logs，我还是第一次知道这个参数，之前提过好几次不肯加logs也不肯透露有关logs的信息，去 ...

那就多试试
PM

显示全部楼层 · 发表于 2022-10-29 17:40:47

123456aaaafsdeg 发表于 2022-10-29 17:39
那就多试试
PM

这次都已经杀干净了....至少也得下次才有吧....

显示全部楼层 · 发表于 2022-10-29 17:41:16

wwwab 发表于 2022-10-29 17:40
这次都已经杀干净了....至少也得下次才有吧....

场景重现

显示全部楼层 · 发表于 2022-10-29 17:42:36

wwwab 发表于 2022-10-29 17:38
这都杀完了哪来logs，我还是第一次知道这个参数，之前提过好几次不肯加logs也不肯透露有关logs的信息，去 ...

对的，这个参数是我摸索出来的

显示全部楼层 · 发表于 2022-10-29 18:25:01

wwwab 发表于 2022-10-29 17:05
这个倒是没事儿，hook回调和加载注册表都被干掉了，剩下来的驱动文件都是没有被加载状态下的，可以直接被 ...

样本新么？新的话能查杀就是火绒瞎猫碰上死耗子了火绒每次遇到新的必须得更新专杀版本
隔壁360急救箱至少两套备用方案不过说是这么说被针对的也是挺厉害的不容易哎

显示全部楼层 · 发表于 2022-10-29 19:13:25

小A KILL

显示全部楼层 · 发表于 2022-10-29 21:28:51

[病毒样本] 今日份RootKit