在推上看到可以用HVCIDisallowedImages阻止驱动加载

显示全部楼层 · 发表于 2024-8-12 23:44:26

刚刚还想着验证一下的，结果发现测试环境打不开HVCI，作罢

显示全部楼层 · 发表于 2024-8-13 06:15:41

00006666 发表于 2024-8-12 15:30
驱动加载失败其实都对EDR来说非常明显了，一个明显的环境异常，可以直接跟控制台告警了。比如那些干回调干 ...

对于wiper或者stealer那种一次完成任务的，其实只要重启成功了游戏就结束了

显示全部楼层 · 发表于 2024-8-13 08:10:00

本帖最后由隔山打空气于 2024-8-13 08:42 编辑

防御很简单，匹配拦截注册表项 HKLM\\SYSTEM\\*ControlSet*\\CI\\*HVCIDisallowedImages* 即可

不需要过滤误报，暴力匹配就完事

显示全部楼层 · 发表于 2024-8-13 08:52:35

这是内存完整性里面的？
实际没啥危害吧，Windows默认就没启用。

显示全部楼层 · 发表于 2024-8-22 11:46:55

有测试过的吗，设置了hvci，发现跟本没有拦住写上的驱动

[其他相关] 在推上看到可以用HVCIDisallowedImages阻止驱动加载