Happy New Year!

显示全部楼层 · 发表于 2023-12-31 23:04:58

趋势扫描miss
懒得双击了

显示全部楼层 · 发表于 2023-12-31 23:09:43

X-Sec
扫描：MISS ALL

显示全部楼层 · 发表于 2023-12-31 23:12:56

这个拆钩是拆了什么的钩子？
咖啡在运行前扫描可以杀掉那个dll，但是运行的时候不会杀，而且重启后再扫描变成不杀。
查询日志显示驱动返回的结果是known clean。

显示全部楼层 · 发表于 2023-12-31 23:13:46

本帖最后由嘿嘿不能说于 2023-12-31 23:22 编辑

Last Dinner

天守：0

触发隐私防护三次后自动阻止，之后运行一段时间后自退

显示全部楼层 · 发表于 2023-12-31 23:21:54

360 扫描寄
双击拦截

和楼上的报法有点不一样所以就发出来了（）
Happy New Year.

显示全部楼层 · 发表于 2023-12-31 23:28:54

本帖最后由 swizzer 于 2023-12-31 23:30 编辑

hansyu 发表于 2023-12-31 23:12
这个拆钩是拆了什么的钩子？
咖啡在运行前扫描可以杀掉那个dll，但是运行的时候不会杀，而且重启后再扫描 ...

拆钩是个约定俗成的叫法。具体到这个样本，其实是在注入进程时，通过重复加载一个ntdll.dll并调用其中的函数以绕过杀毒软件的user mode hook，从而使得注入行为对杀毒软件不可见。

~~你问为什么不可见？因为大部分杀软都是靠user mode hook才能细化监控注入行为...~~

显示全部楼层 · 发表于 2023-12-31 23:32:03

swizzer 发表于 2023-12-31 23:28
拆钩是个约定俗成的叫法。具体到这个样本，其实是在注入进程时，通过重复加载一个ntdll.dll并调用其中的 ...

从这个描述来看应该不会影响普通手动扫描吧？运行之后单独手动扫描这个dll也不再报告了。

显示全部楼层 · 发表于 2023-12-31 23:37:58

hansyu 发表于 2023-12-31 23:32
从这个描述来看应该不会影响普通手动扫描吧？运行之后单独手动扫描这个dll也不再报告了。

正常情况下不会影响

最初传VT的时候咖啡是传统特征入库的，我不清楚为什么现在不杀了...

显示全部楼层 · 发表于 2023-12-31 23:41:00

swizzer 发表于 2023-12-31 23:37
正常情况下不会影响最初传VT的时候咖啡是传统特征入库的，我不清楚为什么现在不杀了...

是双击前扫描能杀，日志显示是云端机学。双击后再手动扫描就不能杀了，重启也不行。
看来是咖啡本身的问题？

显示全部楼层 · 发表于 2023-12-31 23:46:01

hansyu 发表于 2023-12-31 23:41
是双击前扫描能杀，日志显示是云端机学。双击后再手动扫描就不能杀了，重启也不行。
看来是咖啡本身的问 ...

恐怕是的（

[病毒样本] Happy New Year!