银狐1X

显示全部楼层 · 发表于 2024-11-21 12:05:49

本帖最后由 sanhu35 于 2024-11-21 12:08 编辑

vm001 发表于 2024-11-20 13:07
第一次运行火绒加固会默认拦截，样本跑不出行为，只是重启系统。

让火绒挂掉的原因不是他，是关闭这个内核隔离后，他会加载pc tool的驱动（白驱动）来干掉部分安全软件。很多优化版的系统，这个内核隔离本来就关闭了。
而火绒没有拦截加载驱动的功能。

显示全部楼层 · 发表于 2024-11-21 12:43:00

本帖最后由 vm001 于 2024-11-21 12:44 编辑

sanhu35 发表于 2024-11-21 12:05
让火绒挂掉的原因不是他，是关闭这个内核隔离后，他会加载pc tool的驱动（白驱动）来干掉部分安全软件。 ...

我这里测试样本的动作是在打开内核隔离，打开以后火绒就会挂，和病毒加不加驱没关系的

显示全部楼层 · 发表于 2024-11-21 12:51:54

本帖最后由 sanhu35 于 2024-11-22 00:38 编辑

vm001 发表于 2024-11-21 12:43
我这里测试样本的动作是在打开内核隔离，打开以后火绒就会挂，和病毒加不加驱没关系的

之前测试过某个样本，基本也是运行后释放文件，然后立马重启。
然后才会有进一步的动作，后面会创建服务和加载驱动。在某个动作后把360卫士干掉了，360没提示。

有空在试试你说的这个位置

每次第一次运行样本，都是出现这个系统就被强制重启了

显示全部楼层 · 发表于 2024-11-21 17:59:22

vm001 发表于 2024-11-21 12:43
我这里测试样本的动作是在打开内核隔离，打开以后火绒就会挂，和病毒加不加驱没关系的

看一下是不是操作HVCIDisallowedImages键值了吧

显示全部楼层 · 发表于 2024-11-21 18:09:24

隔山打空气发表于 2024-11-21 17:59
看一下是不是操作HVCIDisallowedImages键值了吧

对头...

显示全部楼层 · 发表于 2024-11-28 10:55:51

瑞星 0x

[病毒样本] 银狐1X