Backdoor/AV-Killer（？） 2X

tdsskiller

hhjjjjjj123 发表于 2024-1-8 17:14
我今年遇到过四次，期中两次是远控木马过杀软以后持续驻留下载的风险工具，楼主上次发的一个样本也可以结 ...

远控大概率是手动启动ark来杀掉杀软，r3能杀的几乎没听说过，指一下路是哪几个样本，我让几个小伙挑出来做做杀软自我保护测评

DisaPDB

hhjjjjjj123 发表于 2024-1-8 17:14
我今年遇到过四次，期中两次是远控木马过杀软以后持续驻留下载的风险工具，楼主上次发的一个样本也可以结 ...

VT Hook没这么脆的……

hhjjjjjj123

tdsskiller 发表于 2024-1-10 16:53
远控大概率是手动启动ark来杀掉杀软，r3能杀的几乎没听说过，指一下路是哪几个样本，我让几个小伙挑出来 ...

可以去沙箱下载有对抗安全机制行为的样本，这种基本都是对抗主流杀软的，我觉得不多，但也不少见。如果下载的样本被杀了，大概率那只是入库了，对抗的技术未必失效，你可以用锁库版本实验。这些还是沙箱能检测到的，检测不到的呢？某些精巧的漏洞，黑客可不想给你留分析的机会，头发都掉完了。有的高质量样本的网络访问上午还好好的，下午就断了链接

hhjjjjjj123

DisaPDB 发表于 2024-1-11 13:59
VT Hook没这么脆的……

我修正一下自己的说法，相比样本的层出不穷，这种能干掉安软的样本确实稀缺，但真的不少见可以去沙箱下载有对抗安全机制行为的样本，这种基本都是对抗主流杀软的，我觉得不多，但也不少见。如果下载的样本被杀了，大概率那只是入库了，对抗的技术未必失效，你可以用锁库版本实验。这些还是沙箱能检测到的，检测不到的呢？某些精巧的漏洞，黑客可不想给你留分析的机会，头发都掉完了

DisaPDB

hhjjjjjj123 发表于 2024-1-11 14:42
我修正一下自己的说法，相比样本的层出不穷，这种能干掉安软的样本确实稀缺，但真的不少见可以去沙 ...

在PatchGuard保护机制下的64位系统杀毒软件的自保已远不如之前了……现在的InfinityHook和VTHook之类的也只是妥协的产物不做驱动对抗随随便便搞个白驱动被干掉太正常了，关键在于这个样本没有加驱行为，在3环就能干掉有0环层保护的杀软进程，这明显和那种通过加驱干掉的不一样

tdsskiller

建议楼主该帖子名字为：新时代的avkiller，时隔多年再次出现r3下破坏有r0保护的杀软

tdsskiller

DisaPDB 发表于 2024-1-11 15:11
在PatchGuard保护机制下的64位系统杀毒软件的自保已远不如之前了……现在的InfinityHook和VTHook之类的也 ...

我是挺震惊的，4-5年来没听说过有在野的r3能干掉一系列有VThook的软件。所以我一开始以为又是什么驱动白利用大杀四方，结果是r3干r0

hhjjjjjj123

tdsskiller 发表于 2024-1-11 22:07
我是挺震惊的，4-5年来没听说过有在野的r3能干掉一系列有VThook的软件。所以我一开始以为又是什么驱动白 ...

https://sandbox.dbappsecurity.co ... 8-884b-ebccd4965e25这个楼主上次发的也可以的，其余的因为记不得了，而且链接肯定失效了。关注最新上传的对抗安全机制，和通过注册表键来检测是否安装了常见反病毒软件，你肯定能碰到不错的样本

DisaPDB

hhjjjjjj123 发表于 2024-1-11 22:12
https://sandbox.dbappsecurity.com.cn/report/5232da16-63d9-49e8-884b-ebccd4965e25这个楼主上次发的也 ...

通过注册表键找常见杀软很正常啊……
这个样本是释放wegame的tgp_daemon.exe来顶掉360的核晶虚拟化，没了VTHook360不是随随便便杀，问题在于这个样本没有啊……

hhjjjjjj123

DisaPDB 发表于 2024-1-11 22:44
通过注册表键找常见杀软很正常啊……
这个样本是释放wegame的tgp_daemon.exe来顶掉360的核晶虚拟化，没 ...

没明白您的意思，这个样本没有什么？