今日份RootKit

显示全部楼层 · 发表于 2022-10-29 23:44:01

老驱动了，一直在更新，360的所有驱动应该都被禁止加载了，所以会弹框提示进PE，不过木马不管火绒的驱动，所以能处理。

显示全部楼层 · 发表于 2022-10-30 01:08:42

斩风123 发表于 2022-10-29 14:34
KES

确实恶心，这东西是怎么逃过卡巴监控的，我fs没事全盘扫扫又扫出来了，还杀不掉

显示全部楼层 · 发表于 2022-10-30 01:15:53

KES11.6的监控有待问号？？？

显示全部楼层 · 发表于 2022-10-30 15:51:53

金山毒霸全杀

显示全部楼层 · 发表于 2022-10-31 09:12:33

你开心就好发表于 2022-10-29 16:13
@火绒工程师专杀工具没有全面清理细节优化下喽

您好，目前已可查杀感谢反馈~

显示全部楼层 · 发表于 2022-10-31 11:32:35

ANY.LNK 发表于 2022-10-29 12:59
微软拉黑证书PUA:Win32/Kuping，有条件的话我一会儿试试虚拟机

加载后WD报PUA ,提示重启，每次重启后病毒就随机改了名称，无法彻底清除

显示全部楼层 · 发表于 2022-11-6 01:00:12

喀反发表于 2022-10-31 11:32
加载后WD报PUA ,提示重启，每次重启后病毒就随机改了名称，无法彻底清除

唉，又是这样……
微软往往一次只能扫描到驱动部分，如果R3服务被驱动保护没有第一时间检测到，驱动又会在删除后由R3重新加载

显示全部楼层 · 发表于 2022-11-6 09:01:58

ANY.LNK 发表于 2022-11-6 01:00
唉，又是这样……
微软往往一次只能扫描到驱动部分，如果R3服务被驱动保护没有第一时间检测到，驱动又会 ...

对于rootkit，只要能在加载的时候拦截就OK，中招后往往很难清除，我想大部分杀软一样也无法清除，只能借助急救箱清除。我记得脱机扫描应该能清除的，但这次脱机扫描并没有扫到病毒

显示全部楼层 · 发表于 2022-11-6 09:50:47

喀反发表于 2022-11-6 09:01
对于rootkit，只要能在加载的时候拦截就OK，中招后往往很难清除，我想大部分杀软一样也无法清除，只能借 ...

脱机扫描可能默认不检测PUA，可能要改下恢复环境中的注册表

[病毒样本] 今日份RootKit