银狐1X

显示全部楼层 · 发表于 2024-9-5 18:33:58

wowocock 发表于 2024-9-2 16:49
还是利用TrueSight驱动，不过大家都拉黑了。

火绒的文件实时监控监控不到漏洞利用驱动的释放，他们说“您好，这边判断该程序不关闭句柄，无法判断是否写完成，所以modify消息未抛”

，看起来这批银狐样本的作者写完文件故意不关闭文件句柄

显示全部楼层 · 发表于 2024-9-6 11:07:09

本帖最后由火绒工程师于 2024-9-6 11:47 编辑

wwwab 发表于 2024-9-5 18:33
火绒的文件实时监控监控不到漏洞利用驱动的释放，他们说“您好，这边判断该程序不关闭句柄，无法判断是否 ...

您好，实在抱歉，之前回复有误，问题还在进一步确认中哈，有进展会及时跟进帖子答复的哈~

[病毒样本] 银狐1X