在推上看到可以用HVCIDisallowedImages阻止驱动加载

显示全部楼层 · 发表于 2024-8-12 17:58:56

本帖最后由 Jirehlov1234 于 2024-8-12 11:07 编辑

https://x.com/yarden_shafir/status/1822667605175324787

$path = "HKLM:\SYSTEM\CurrentControlSet\Control\CI"; Set-ItemProperty -Path $path -Name "HvciAuditMode" -Value 0 -Type DWORD -Force; Set-ItemProperty -Path $path -Name "HVCIDisallowedImages" -Value @("test.sys") -Type MultiString -Force

把test.sys改成想要禁止的驱动文件名即可。需要重启生效。当然HVCI得开。
貌似绕UAC就能下发了....？

显示全部楼层 · 发表于 2024-8-12 18:08:15

前提是要知道驱动的名字，问题是现在的木马驱动都是随机名，流氓软件驱动也有很多是随机名，安全软件反RTK驱动也是用随机名

显示全部楼层 · 发表于 2024-8-12 18:11:14

00006666 发表于 2024-8-12 10:08
前提是要知道驱动的名字，问题是现在的木马驱动都是随机名，流氓软件驱动也有很多是随机名，安全软件反RTK ...

这招当然是用来禁止正规软件的驱动啦。按推上那人的说法大部分edr都寄

显示全部楼层 · 发表于 2024-8-12 18:16:29

Jirehlov1234 发表于 2024-8-12 18:11
这招当然是用来禁止正规软件的驱动啦。按推上那人的说法大部分edr都寄

知道驱动名字的话，直接占坑设备名也行，以前暗云木马就占坑360急救箱设备名

显示全部楼层 · 发表于 2024-8-12 18:24:58

本帖最后由 00006666 于 2024-8-12 18:26 编辑

https://www.360.cn/n/10470.html

以前暗云木马这种占坑设备名

显示全部楼层 · 发表于 2024-8-12 18:26:14

不如提前用空文件设置只读权限全部修改为拒绝占位

显示全部楼层 · 发表于 2024-8-12 18:40:36

00006666 发表于 2024-8-12 10:16
知道驱动名字的话，直接占坑设备名也行，以前暗云木马就占坑360急救箱设备名

我觉得管理员改注册表的隐秘性应该更高...？这个键值还是undocumented的。
不过按nextron的记录，最早披露应该是去年上半年https://github.com/yardenshafir/ ... y_Opportunities.pdf
一年多过去了，还有谁不设拦截点有点说不过去了

显示全部楼层 · 发表于 2024-8-12 19:38:17

00006666 发表于 2024-8-12 18:16
知道驱动名字的话，直接占坑设备名也行，以前暗云木马就占坑360急救箱设备名

占坑要上驱动的，这个要是r3能搞定也是挺厉害的，不过会被专杀直接拿下

显示全部楼层 · 发表于 2024-8-12 19:39:15

wwwab 发表于 2024-8-12 18:26
不如提前用空文件设置只读权限全部修改为拒绝占位

这个很明显就是打后手破坏的

显示全部楼层 · 发表于 2024-8-12 20:10:22

tdsskiller 发表于 2024-8-12 19:39
这个很明显就是打后手破坏的

不啊，就比如说你加载的驱动文件名固定叫test.sys，加载地址固定在drivers底下，服务名固定叫test

第1种：阻止文件落地
提前用空文件，在drivers底下扔一个名为test.sys的空文件，设置只读，权限全部修改为拒绝，驱动文件路径占掉了
等到你试图释放test.sys的时候，你发现写不了

------
第2种：用白驱动顶
在drivers底下提前加载一个名为test.sys、服务名为test的白驱动，不仅把驱动文件路径占掉了，驱动加载注册表路径也占掉了，写不了

[其他相关] 在推上看到可以用HVCIDisallowedImages阻止驱动加载

评分

本帖子中包含更多资源

评分