高质量WHQL Rootkit样本和释放器一枚，VT 0 报毒

显示全部楼层 · 发表于 2023-5-27 20:42:50

761773275 发表于 2023-5-27 17:05
BEST ATC 驱动未能安装

你觉得是ATC厉害还是卡巴的PDM厉害，还是诺顿厉害？

显示全部楼层 · 发表于 2023-5-27 20:44:03

GreatMOLA 发表于 2023-5-27 14:31
Norton
A杀

搞得我卡巴正版用户没信心了

，诺顿a杀是激进的启发是吧？我记得站内有试用的s开头的诺顿企业版可以给个链接我试试吗？

显示全部楼层 · 发表于 2023-5-27 20:48:55

你认为对于这种高级持久化威胁相对来说哪个杀软防御的最好呢？

显示全部楼层 · 发表于 2023-5-27 20:49:11

GreatMOLA 发表于 2023-5-27 14:31
Norton
A杀

你认为对于这种高级持久化威胁相对来说哪个杀软防御的最好呢？

显示全部楼层 · 发表于 2023-5-27 20:49:47

avast miss

显示全部楼层 · 发表于 2023-5-27 20:54:27

hansyu 发表于 2023-5-27 16:03
McAfee 双击杀掉衍生物，但驱动已安装。
ti!93533EB77671

McAfee个人版这种情况可能是因为驱动加载之后进程被结束和针对了。

企业版的威胁防护进程也被针对了，但是自适应威胁防护（ATP）发威连续回滚三次，好像把驱动也回滚了。

显示全部楼层 · 发表于 2023-5-27 21:08:19

本帖最后由 hansyu 于 2023-5-27 21:10 编辑

记录微笑发表于 2023-5-27 20:54
McAfee个人版这种情况可能是因为驱动加载之后进程被结束和针对了。

企业版的威胁防护进程也 ...

R108没有被针对，因为进程名字和R51不一样，写这个驱动的人用的旧名字。杀掉的是那个假steam，驱动和驱动安装器没有杀。
个人版的RP没有企业版那么敏感。

显示全部楼层 · 发表于 2023-5-27 21:24:18

AEht 发表于 2023-5-27 20:49
你认为对于这种高级持久化威胁相对来说哪个杀软防御的最好呢？

防御不知道，看对面手段变不变态，初见的白利用谁都不行

显示全部楼层 · 发表于 2023-5-27 21:25:39

tdsskiller 发表于 2023-5-27 21:24
防御不知道，看对面手段变不变态，初见的白利用谁都不行

我准备去搞一个Elastic开源版玩玩，听说挺强的，好的话可以短期入个白金体验一下（贵得要死，企业）

显示全部楼层 · 发表于 2023-5-27 21:26:31

hansyu 发表于 2023-5-27 21:08
R108没有被针对，因为进程名字和R51不一样，写这个驱动的人用的旧名字。杀掉的是那个假steam，驱动和驱动 ...

对面还是方法老，把签名一拉黑你怎么变名字都不行了，对面还是引导启动，如果启动比你早的话系统安全软件寸草不生

[原创分析] 高质量WHQL Rootkit样本和释放器一枚，VT 0 报毒