同一台电脑提取的可疑驱动hwperf.sys及exe

显示全部楼层 · 发表于 2024-3-20 12:11:03

本帖最后由落华无痕于 2024-3-20 12:50 编辑

样本（infected）：https://free.lanzoue.com/iaZBJ1ryvjkd

跟这个帖子一样：可疑驱动火绒报Rootkit/Loader.e

找了几个hwperf.sys，主体一样，只是hash不同而已。

跟最近搜索引擎下载软件或驱动中的TrueUpdate Client和随机名挖矿进程应该是同源。

显示全部楼层 · 发表于 2024-3-20 13:58:33

360

显示全部楼层 · 发表于 2024-3-20 14:05:20

360压缩报毒，瑞星报毒

显示全部楼层 · 发表于 2024-3-20 14:10:13

看来是确实有问题了

显示全部楼层 · 发表于 2024-3-20 14:26:38

@wowocock

显示全部楼层 · 发表于 2024-3-20 14:38:16

蜘蛛

EMSI

显示全部楼层 · 发表于 2024-3-20 14:49:11

tdsskiller 发表于 2024-3-20 14:26
@wowocock

能查杀即可。又不是反复杀不掉?

显示全部楼层 · 发表于 2024-3-20 15:14:59

本帖最后由 DisaPDB 于 2024-3-20 15:16 编辑

他们给这个驱动加规则了

显示全部楼层 · 发表于 2024-3-20 15:48:26

tdsskiller 发表于 2024-3-20 14:26
@wowocock

该驱动应该是动态加载的，作用是内存加载内核shellcode清除360所有驱动的回调。并让360所有程序起不来。用360急救箱改名后，强力模式查杀即可。

显示全部楼层 · 发表于 2024-3-20 17:23:36

wowocock 发表于 2024-3-20 15:48
该驱动应该是动态加载的，作用是内存加载内核shellcode清除360所有驱动的回调。并让360所有程序起不来。 ...

现在有那种干回调让杀软跟EDR失灵的方法好像很常见，360有没有做针对性对抗，或者干脆检测到回调没有了就直接BSOD。

[病毒样本] 同一台电脑提取的可疑驱动hwperf.sys及exe

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分