fake app 1x vt 初扫2/62

wowocock

ulyanov2233 发表于 2025-8-8 12:13
@wowocock 肉鸡哥，火绒怎么会在特征了漏洞驱动的情况下，还被漏洞驱动干掉了

漏洞驱动已经在库里了，但这里木马用了点技巧，他先是创建了没被拉黑的计划任务，然后立刻重启，重启之后在火绒初始化之前计划任务先执行了，通过RUNDLL32加载恶意DLL，然后释放加载漏洞驱动，干掉杀软进程。不过火绒恶意木马专杀能够处理。处理后重启即可。
火绒恶性木马专杀工具 - 火绒安全工具 - 火绒安全软件

wowocock

"C:\Windows\System32\rundll32.exe" "C:\Program Files (x86)\Windows NT\module.dll",lyf3weoyf8lowasd
__int64 lyf3weoyf8lowasd_0()
{
  __int64 v0; // rax
  int v2[11]; // [rsp+20h] [rbp-40h] BYREF
  __int64 v3; // [rsp+4Ch] [rbp-14h]
  __int16 v4; // [rsp+54h] [rbp-Ch]
  unsigned __int64 v5; // [rsp+70h] [rbp+10h] BYREF

  v2[0] = 0x9B8EEBE3;
  v3 = 0i64;
  v4 = 0;
  v2[1] = 0x89BDBAB6;
  v2[2] = 0xD9F280B5;
  v2[3] = 0x80B385B9;
  v2[4] = 0xC382F5FC;
  v2[5] = 0xBCA2F0C2;
  v2[6] = 0x90AE97AD;
  v2[7] = 0xBDEE9E9B;
  v2[8] = 0x96A4A9B0;
  v2[9] = 0x255A9DA1;
  v2[10] = 0xF36E5458;
  v5 = 0i64;
  do
  {
    *((_BYTE *)v2 + v5) += v5 - 38 + 2 * (5 - (*((_BYTE *)v2 + v5) & (v5 - 38)));
    ++v5;
  }
  while ( v5 < 0x36 );
  v0 = sub_1800098C0((__int64)v2, &v5);
  return ((__int64 (__fastcall *)(__int64, unsigned __int64))sub_18000A020)(v0, v5);
}

lingchenheiye

其实火绒开启发沙箱的情况下能杀

biue

腾讯电脑管家 1X

awsl10000次

卡巴op昨天凌晨就检出了
Trojan.Win32.Agent.sb
但现在还没加特征/云拉黑...

ulyanov2233

awsl10000次 发表于 2025-8-9 00:21
卡巴op昨天凌晨就检出了
Trojan.Win32.Agent.sb
但现在还没加特征/云拉黑...

对自己主防自信，这个驱动老早就被发现了，掀不起浪