同一台电脑提取的可疑驱动hwperf.sys及exe

显示全部楼层 · 发表于 2024-3-20 18:14:23

00006666 发表于 2024-3-20 17:23
现在有那种干回调让杀软跟EDR失灵的方法好像很常见，360有没有做针对性对抗，或者干脆检测到回调没有了就 ...

360对ObRegisterCallback/CmRegisterCallback/PsSetLoadImageNotifyRoutine(Ex)不应该都有挂钩吗
不过之前对指定进程句柄进行降权确实没有防住来着

显示全部楼层 · 发表于 2024-3-20 18:17:20

00006666 发表于 2024-3-20 17:23
现在有那种干回调让杀软跟EDR失灵的方法好像很常见，360有没有做针对性对抗，或者干脆检测到回调没有了就 ...

对主防来说，国际公用惯例一般不做驱动内核对抗。需要靠急救箱等，干掉木马驱动，再常规处理。

显示全部楼层 · 发表于 2024-3-20 18:20:15

wowocock 发表于 2024-3-20 18:17
对主防来说，国际公用惯例一般不做驱动内核对抗。需要靠急救箱等，干掉木马驱动，再常规处理。

对了大佬，之前那个Token降权崩程序的bug修复了吗

显示全部楼层 · 发表于 2024-3-20 18:21:18

DisaPDB 发表于 2024-3-20 18:20
对了大佬，之前那个Token降权崩程序的bug修复了吗

已经修复了。

显示全部楼层 · 发表于 2024-3-20 18:22:00

wowocock 发表于 2024-3-20 18:21
已经修复了。

感谢解答~没分了明天补

显示全部楼层 · 发表于 2024-3-20 18:22:45

DisaPDB 发表于 2024-3-20 18:14
360对ObRegisterCallback/CmRegisterCallback/PsSetLoadImageNotifyRoutine(Ex)不应该都有挂钩吗
...

内核对抗无止境。主要是卫士不能把用户电脑当战场。

显示全部楼层 · 发表于 2024-3-20 18:54:26

Avast-3X

显示全部楼层 · 发表于 2024-3-20 20:14:52

卡巴
事件: 检测到可以被犯罪分子利用以破坏您的计算机或个人数据的合法软件
用户: DESKTOP\86137
用户类型: 活动用户
应用程序名称: 7zG.exe
应用程序路径: C:\Program Files\7-Zip
组件: 文件反病毒
结果说明: 检测到
类型: 可能会被入侵者利用以破坏您的计算机或个人数据的合法软件
名称: not-a-virus:HEUR:RiskTool.Win32.BitMiner.gen
精确度: 启发式分析
威胁级别: 低
对象类型: 文件
对象名称: l0Pivnbx.exe
对象路径: C:\Users\86137\下载\virus\virus\etxYIAEY
MD5: 413E7500E6902371ED3806890D36C71C
原因: 机器学习
数据库发布日期: 今天，2024/3/20 16:24:00

显示全部楼层 · 发表于 2024-3-20 20:56:48

火绒写报告了，已经发出来了

显示全部楼层 · 发表于 2024-3-20 20:59:03

火绒2X

病毒详情：
风险路径：C:\Users\Administrator\Desktop\virus (1)\etxYIAEY\l0Pivnbx.exe, 病毒名：HackTool/CoinMiner.p, 病毒ID：b32f3b01225c425c, 处理结果：已处理，删除文件
风险路径：C:\Users\Administrator\Desktop\virus (1)\hwperf.sys, 病毒名：Rootkit/Loader.e, 病毒ID：97f29e1bfe8475c2, 处理结果：已处理，删除文件

复制代码

[病毒样本] 同一台电脑提取的可疑驱动hwperf.sys及exe

本帖子中包含更多资源