已测能干掉火绒，360安全卫士，其他未测。

lixihong10

在隔壁论坛看到的原样本地址下载:https://homelyl.lanzoue.com/iW8Qv2zn20yh 密码:52pj

压缩密码：52pojie




从样本中提取了干掉火绒和360部分，其他杀软未测试，猜测国产杀软难逃一死。


压缩密码：infected

ulyanov2233

原文件essp扫描miss，卡巴斯基扫描miss天穹沙箱kill 天穹动态分析沙箱 | 分析报告卡巴op上传后kill 估计很快云拉黑Kaspersky Threat Intelligence Portal — Report — 412CEEFC575C651831340C7195EA6E6191C0A78B245B9B9B.vt
13/72:..VirusTotal - File - 412ceefc575c651831340c7195ea6e6191c0a78b245b9b9b98333676ae300550

scottxzt

名称: UDS:Trojan.Win32.Agentb.a
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: NVIDIA.exe
对象路径: F:\结束杀软部分\结束杀软部分

1073328164

迈克菲 kill

tihs

金山毒霸拦截部分衍生物，遗漏NVIDIA.exe，依然被干掉；    360防御

莒县小哥

ongarabazanade

wowocock

_int64 __fastcall DevCtrl(__int64 DeviceObject, IRP *Irp)
{
  struct _IRP *MasterIrp; // r9
  unsigned int status; // edi
  char v5; // al

  MasterIrp = Irp->AssociatedIrp.MasterIrp;
  status = 0xC0000001;
  if ( Irp->Tail.Overlay.CurrentStackLocation->Parameters.Read.ByteOffset.LowPart == 0x2248D4 )
  {
    if ( MasterIrp && (unsigned __int8)sub_1400012B8(*(_QWORD *)&MasterIrp->Type) )
      status = 0;
  }
  else
  {
    if ( Irp->Tail.Overlay.CurrentStackLocation->Parameters.Read.ByteOffset.LowPart == 0x2248D8 )
    {
      if ( !MasterIrp )
        goto LABEL_16;
      v5 = sub_140001614(*(_QWORD *)&MasterIrp->Type);
    }
    else if ( Irp->Tail.Overlay.CurrentStackLocation->Parameters.Read.ByteOffset.LowPart == 0x2248DC )
    {
      if ( !MasterIrp )
        goto LABEL_16;
      v5 = sub_140001240(*(_QWORD *)&MasterIrp->Type);
    }
    else
    {
      if ( Irp->Tail.Overlay.CurrentStackLocation->Parameters.Read.ByteOffset.LowPart != 0x2248E0 || !MasterIrp )
        goto LABEL_16;
      v5 = TerminateProcessByPid(*(_QWORD *)&MasterIrp->Type);
    }
    if ( v5 )
      status = 0;
  }
LABEL_16:
  Irp->IoStatus.Status = status;
  IofCompleteRequest(Irp, 0);
  return status;
}
char __fastcall TerminateProcessByPid(void *a1)
{
  HANDLE ProcessHandle; // [rsp+58h] [rbp+10h] BYREF
  PEPROCESS Process; // [rsp+60h] [rbp+18h] BYREF

  Process = 0i64;
  ProcessHandle = 0i64;
  if ( PsLookupProcessByProcessId(a1, &Process) >= 0
    && ObOpenObjectByPointer(Process, 0x200u, 0i64, 1u, (POBJECT_TYPE)PsProcessType, 0, &ProcessHandle) >= 0 )
  {
    ZwTerminateProcess(ProcessHandle, 0);
    ZwClose(ProcessHandle);
  }
  if ( Process )
    ObfDereferenceObject(Process);
  return 0;
}
又是利用漏洞驱动，通过PID杀进程。

wowocock

已经让火绒这边加入漏洞驱动库了，以后这类应该都能拦截。

inhh1

BD ATD Killed