飞星注入器v.2.0.3 开源 | 已绕过卡巴斯基EDR

显示全部楼层 · 发表于 2025-4-5 18:05:58

操作过程断网就能绕核晶了，不过这属于奇技淫巧，不推荐你们这样做。

显示全部楼层 · 发表于 2025-4-5 18:10:39

00006666 发表于 2025-4-5 18:05
操作过程断网就能绕核晶了，不过这属于奇技淫巧，不推荐你们这样做。

怎么可能呢核晶强是因为CPU虚拟化让patch guard失效这样就可以在内核设置内联Hook
这和网络有什么关系呢又不是云查杀呀很奇怪

显示全部楼层 · 发表于 2025-4-5 18:13:41

菜叶片发表于 2025-4-5 18:10
怎么可能呢核晶强是因为CPU虚拟化让patch guard失效这样就可以在内核设置内联Hook
这和网络有什么关 ...

银狐就是这样做，操作过程断网绕360注入，因为360规则库依赖云，依赖云来判定文件安全性，断网为了减少误报拦截，会默认不拦截这些行为…，不过360现在也增加了很多针对恶意断网操作的拦截。

显示全部楼层 · 发表于 2025-4-5 18:14:37

Komeiji-Reimu 发表于 2025-4-5 15:13
Idefender

有CPU虚拟化吧应该其他人注入后不生效是因为winlogon版本和我这边测试的版本不同现在在修
但是注入到一半被逮了基本上就是在内核态被当场捕获了 XD

显示全部楼层 · 发表于 2025-4-5 18:18:59

本帖最后由 00006666 于 2025-4-5 18:20 编辑

菜叶片发表于 2025-4-5 18:14
有CPU虚拟化吧应该其他人注入后不生效是因为winlogon版本和我这边测试的版本不同现在在修
但是注入到 ...

可以去看看银狐等恶意黑产家族做出来的东西，就是为了360而生的，你能看到很多针对360的技术。不过他们都喜欢奇技淫巧，断网操作，R3 kill进程啥的。

显示全部楼层 · 发表于 2025-4-5 18:26:19

00006666 发表于 2025-4-5 18:18
可以去看看银狐等恶意黑产家族做出来的东西，就是为了360而生的，你能看到很多针对360的技术。不过他们都 ...

什么鬼 r3 kill进程？怎么拿句柄不会产生对象创建内核回调吗
wait
我好像知道了他们是不是和我这个项目用的同一个句柄提权漏洞...
但是ZwTerminateProcess 会被核晶内核hook拦截吧

显示全部楼层 · 发表于 2025-4-5 18:31:24

菜叶片发表于 2025-4-5 18:26
什么鬼 r3 kill进程？怎么拿句柄不会产生对象创建内核回调吗
wait
我好像知道了他们是不是和我这个项 ...

他们会先拿一个别的VT软件来顶掉核晶，核晶失效之后用windows重启管理器结束360进程，问题是出在核晶会自动避让这些别的VT软件，比如虚拟机，模拟器之类的。

显示全部楼层 · 发表于 2025-4-5 18:34:11

VIPRE EDR

显示全部楼层 · 发表于 2025-4-5 18:35:46

菜叶片发表于 2025-4-5 18:26
什么鬼 r3 kill进程？怎么拿句柄不会产生对象创建内核回调吗
wait
我好像知道了他们是不是和我这个项 ...

看看这篇文章，不过里面的技术思路都是基于顶掉核晶或者断网

https://mp.weixin.qq.com/s/iwF92aEaAD5TVsvnan9SJQ

显示全部楼层 · 发表于 2025-4-5 18:36:03

00006666 发表于 2025-4-5 18:31
他们会先拿一个别的VT软件来顶掉核晶，核晶失效之后用windows重启管理器结束360进程，问题是出在核晶会自 ...

巧了前几天刚有人跟我说过这个 XD

[病毒样本] 飞星注入器v.2.0.3 开源 | 已绕过卡巴斯基EDR