疑似rootkit

显示全部楼层 · 发表于 2023-5-17 19:27:09

火绒对麻辣香锅家族驱动的报法是RService，你这个样本火绒命中了一个BService.a

显示全部楼层 · 发表于 2023-5-17 19:32:11

IamAngry 发表于 2023-5-17 17:52
急救箱没理由扫不出来吧，这个连DrWeb都入库了

样本感觉应该有对抗性和隐藏filter

翻了一圈C:\Windows\System32\drivers目录，逮到一个可疑sys

他能直接把sys提取出来，没准是急救箱已经炸了它的驱动回调或者驱动服务项

SysRepair.log里面肯定会有这个驱动的

显示全部楼层 · 发表于 2023-5-17 21:23:01

本帖最后由 GreatMOLA 于 2023-5-17 21:26 编辑

Norton
Trojan.Gen.MBT
加载后：

文件名: xntpopjv.sys
威胁名称: SONAR.Dropper!gen2完整路径: 不可用
____________________________
____________________________
在电脑上
不可用
上次使用时间
2023/5/17 ( 21:23:01 )
启动项
否
已启动
是
行为主动防护监视电脑上的可疑程序活动。
____________________________
xntpopjv.sys威胁名称: SONAR.Dropper!gen2
定位
未知
Norton 社区中使用了此文件的用户数未知。
未知
此文件版本当前未知。
高
此文件具有高风险。

复制代码

显示全部楼层 · 发表于 2023-5-17 21:29:19

eset
Win32/GenCBL.BAK

显示全部楼层 · 发表于 2023-5-18 10:38:24

wwwab 发表于 2023-5-17 19:32
样本感觉应该有对抗性和隐藏filter

他能直接把sys提取出来，没准是急救箱已经炸了它的驱动回调或者驱 ...

是的，这木马有文件隐藏保护，运行后，你将无法访问其所在的目录，一般是system32\drivers,而且其隐藏方法比较隐蔽，不是常规的文件过滤，微过滤驱动，FSD HOOK。所以PCHUNTER下常规看不到他的挂钩，而且木马作者设置了木马驱动调试模式下起作用，防止被分析研究，不过可以运行急救箱里的急救箱运行不了被删除请将我放到其他目录改名运行后再下载使用.exe all ，带参数all 运行即可看到被隐藏的驱动了。

也可以用急救箱扫描，提示使用强力模式，这时候因为木马的保护，会导致扫不到，重启后，再用急救箱扫描，确保是红色闪电标志下扫描即可清除木马。估计楼主以前没用过急救箱，没重启后再扫。但如果他能直接看到这个木马，说明已经被急救箱禁止了，手动删除文件也行。

显示全部楼层 · 发表于 2023-5-18 10:57:48

wowocock 发表于 2023-5-18 10:38
是的，这木马有文件隐藏保护，运行后，你将无法访问其所在的目录，一般是system32\drivers,而且其隐藏方 ...

补充下，是木马驱动调试模式下不起作用，坑爹的键盘。有时候竟然打不出字。

显示全部楼层 · 发表于 2023-5-18 11:29:29

为啥不同网站上的同一个杀软的检测结果会不一样呢..

显示全部楼层 · 发表于 2023-5-18 14:42:17

wowocock 发表于 2023-5-18 10:38
是的，这木马有文件隐藏保护，运行后，你将无法访问其所在的目录，一般是system32\drivers,而且其隐藏方 ...

这个鸟驱动是在drivers下同名目录里，目录设置了权限直接打开是打不开的，手动把目录的权限改了之后就能看到文件了（我记得当时我是这么操作的）

显示全部楼层 · 发表于 2023-5-18 16:33:48

bandizip 解压错误求一个分流

显示全部楼层 · 发表于 2023-5-19 19:28:41

54ss 发表于 2023-5-18 16:33
bandizip 解压错误求一个分流

https://s.threatbook.com/report/ ... 92a56d2b4b74be7bdab

从微步这里下载吧

[病毒样本] 疑似rootkit

本帖子中包含更多资源

评分