可疑驱动 火绒报Rootkit/Agent.dy

沧桑浪子

类型：
木马程序(Trojan.Generic)

描述：
木马通常利用系统的漏洞，绕过系统防御，达到：盗取账号、窃取资料、篡改文件、破坏数据的目的。
经过360安全中心检验，此文件是木马，建议您立即处理。

扫描引擎：
360云查杀引擎

文件路径：
F:\360SANDBOX\SHADOW\03\hwperf\hwperf.sys

文件指纹(MD5)：
f2002b81af3e10ef51a702aa4fadea1f

wowocock

tdsskiller 发表于 2024-3-10 23:50
@wowocock

应该采用了某种特殊的壳，反汇编看不出来。而且动态加载失败，可能需要配套的其他模块。如果不是反外{过}{滤}挂的基本就是有问题的。

DisaPDB

wowocock 发表于 2024-3-12 11:17
应该采用了某种特殊的壳，反汇编看不出来。而且动态加载失败，可能需要配套的其他模块。如果不是反外{过} ...

这种看着像是控制流混淆吧，有没有通用的逆平坦化方法

失控的指令

能通过工具加载吗，还是说需要特定的exe

烈焰飞雪

Avast miss

ANY.LNK

微软回复说没有找到恶意行为，另外，我手动看了下静态，执行流混乱一大堆，而且没有找到什么明显的特征性代码……

wwwab

腾讯电脑管家也添加通杀特征了 Rootkit.Win64.Agent_l.16001144

wwwab

anthonyqian 发表于 2024-3-10 11:06
飞塔老哥说安全。

Dear Customer,

Thank you for submitting the samples to Fortinet.
Based on our deeper analysis, the samples you submitted will be detected as follows:
71950fa39a3d2fdace643f1671413ac4 hwperf (2).sys - <W64/NtRootKit.A!tr>
caf6da65eb30680a02c2f21f52f635d0 hwperf4.sys - <W64/NtRootKit.A!tr>
eb8c359244704449f1cbf70330caec50 hwperf3.sys - <W64/NtRootKit.A!tr>
f2002b81af3e10ef51a702aa4fadea1f hwperf.sys - <W64/NtRootKit.A!tr>

The signature will be included in the next regular update.
If for any reason you believe that the files are still not being detected, please let us know.

wwwab

ANY.LNK 发表于 2024-3-16 18:22
微软回复说没有找到恶意行为，另外，我手动看了下静态，执行流混乱一大堆，而且没有找到什么明显的特征性代 ...

成了

Analyst comments:
We have reviewed the files and added malware detections for them to the next definition update. The latest definition information is available here: https://docs.microsoft.com/microsoft-365/security/defender-endpoint/manage-updates-baselines-microsoft-defender-antivirus  Thank you for contacting Microsoft.

swizzer

DisaPDB 发表于 2024-3-12 12:04
这种看着像是控制流混淆吧，有没有通用的逆平坦化方法

SSA展开然后污点分析

但是碰上具体案例大概率还得手操