【统计帖】论坛中的 WHQL Rootkit 发展史

神龟Turmi

http://netfiltersdk.com/buy_now.html
netfilter其实是个合法驱动
不过因为他们官方卖源码。。。然后就。。。

ANY.LNK

神龟Turmi 发表于 2023-6-25 17:36
http://netfiltersdk.com/buy_now.html
netfilter其实是个合法驱动
不过因为他们官方卖源码。。。然后就 ...

当时他们不是和该Rootkit切割了吗？

神龟Turmi

ANY.LNK 发表于 2023-6-26 07:16
当时他们不是和该Rootkit切割了吗？

源码已经卖出去了 再想拿回来就不太容易了吧
有很多合法软件也用netfilter 例如迅雷（他们改名为了thunderwfp）例如glasswire 例如comodo防火墙 例如几乎所有的网游加速器（除了360/鲁大师 他们用的windevert）

tdsskiller

神龟Turmi 发表于 2023-6-26 13:58
源码已经卖出去了 再想拿回来就不太容易了吧
有很多合法软件也用netfilter 例如迅雷（他们改名为了thund ...

这两个已经被恶意软件用坏了

ANY.LNK

神龟Turmi 发表于 2023-6-26 13:58
源码已经卖出去了 再想拿回来就不太容易了吧
有很多合法软件也用netfilter 例如迅雷（他们改名为了thund ...

虽然Rootkit可能确实是用了netfilterSDK，但是netfilterSDK官方却坚决否认该Rootkit使用了他们的源码，说该样本除了名称相同之外和他们没有任何关系

https://netfiltersdk.com/news/news-28.06.2021.html

There is nothing common between this malware and NFSDK drivers, except the name. There are no false positives related to NFSDK drivers in antivirus engines.

wwwab

ANY.LNK 发表于 2023-7-1 10:08
虽然Rootkit可能确实是用了netfilterSDK，但是netfilterSDK官方却坚决否认该Rootkit使用了他们的源码，说 ...

filter本身就是过滤器的意思，network filter简称netfilter，按道理来说所有网络过滤驱动理论上都可以叫做netfilter

ANY.LNK

wwwab 发表于 2023-7-1 10:10
filter本身就是过滤器的意思，network filter简称netfilter，按道理来说所有网络过滤驱动理论上都可以叫 ...

虽然可以这么说……

但看11楼，这边说的单指netfilterSDK的源码

神龟Turmi

ANY.LNK 发表于 2023-7-1 10:08
虽然Rootkit可能确实是用了netfilterSDK，但是netfilterSDK官方却坚决否认该Rootkit使用了他们的源码，说 ...

之前见过一个（来自某加速器用户 他被发现到很多https网站被MITM然后联系客服寻求帮助）
他的system32下甚至有一个nfapi.dll
至少这一例的netfilter.sys是netfiltersdk
至于他们官方是不是嘴硬我不好说

ANY.LNK

神龟Turmi 发表于 2023-7-1 15:52
之前见过一个（来自某加速器用户 他被发现到很多https网站被MITM然后联系客服寻求帮助）
他的system32下 ...

一套有问题的源码，公开在网上任何人都可以访问，可扩展性极强，不被利用才怪。

总之，就我估摸着真真正正的恶意驱动的总量可能占全部的使用netfiltersdk的驱动之比不大，但不会是官方所说的“没有任何关联或没有任何针对使用此源码的驱动的报告”

ANY.LNK

2023.7.29更新：

https://bbs.kafan.cn/thread-2258711-1-1.html

收集者：@落华无痕