11.29新版银狐（体积很小）

GDHJDSYDH

EIS扫描miss，沙盒里没跑几秒自退，估计反沙箱

wwwab

tdsskiller 发表于 2024-11-29 23:08
还是找一下隔离区上传一下，可以拉灰，去白

拿生产机器跑了一下之后被我干掉了，还好我技术强大

提取到了：

果然换了一个漏洞驱动，还签了WHQL

wwwab

@wowocock @火绒工程师 请注意，该批银狐换了一个VulnDriver，SHA-256: 15e84d040c2756b2d1b6c3f99d5a1079dc8854844d3c24d740fafd8c668e5fb9，最近被国内公司重新签上WHQL签名证书，仅大蜘蛛一家识别为VulnDriver

奇葩微软竟然给已知的明确的VulnDriver过签，而且还不来自原公司。。

xmt12

1. XAS扫描日志
   
2. 扫描开始时间:2024/11/30 11:59:13
   
3. 
   
4. 主程序版本:3.0.5 病毒库版本:1778(2024.11.30)
   
5. 特征库个数：17419
   
6. 黑md5个数：2333183
   
7. 白md5个数：150481
   
8. 
   
9. 危险文件:
   
10. ---------
    
11. 
    
12. D:/用户文件/2/桌面/11.29日常银狐\dkkfg.msi[压缩包引擎][Binarylbin -> Trojan.Generic]
    
13. 
    
14. 总文件数:1
    
15. 病毒文件个数:1
    
16. 查杀率:100.0%
    
17. 扫描结束时间:2024/11/30 11:59:14

复制代码

poink

自信实机测试，BDTS被干穿了，在重装系统哈哈哈哈

inhh1

wwwab 发表于 2024-11-30 09:14
@wowocock @火绒工程师 请注意，该批银狐换了一个VulnDriver，SHA-256: 15e84d040c2756b2d1b6c3f99d5a1079d ...

BD企业版也能识别，前提在中控开启防篡改并且设置到阻止模式
很多企业版漏都是因为BD那玩意的漏洞驱动默认是报告而不是阻止

tdsskiller

inhh1 发表于 2024-12-1 21:23
BD企业版也能识别，前提在中控开启防篡改并且设置到阻止模式
很多企业版漏都是因为BD那玩意的漏洞驱动默 ...

其实吧，银狐这种操作你是大概率识别不了的，除非你和反作弊一样监控所有该类似驱动的加载后特征，要不然在加载前你只能识别出这个是个WHQL的amd驱动，签名已经是被私人更新了

inhh1

tdsskiller 发表于 2024-12-2 00:13
其实吧，银狐这种操作你是大概率识别不了的，除非你和反作弊一样监控所有该类似驱动的加载后特征，要不然 ...

bd企业版对漏洞驱动都是做特征的，不是简单的hash拉黑

Fadouse

双击 DI 杀衍生

wowocock

wwwab 发表于 2024-11-30 09:14
@wowocock @火绒工程师 请注意，该批银狐换了一个VulnDriver，SHA-256: 15e84d040c2756b2d1b6c3f99d5a1079d ...

看了下，所有类似的都不在白名单里。应该能查杀和防御吧。用https://bbs.kafan.cn/thread-2276261-1-1.html，这里的驱动隐藏360，即可随便用360卫士处理了。