银狐1x

lsop1349987

来自FakeAPP 83X_病毒样本 分享&分析区_安全区 卡饭论坛 - 互助分享 - 大气谦和!
经典，emsi被干碎，天守kill，卡巴kill，未上传VT，可以试试主防
https://c.wss.cc/f/hza8bhki1wl 复制链接到浏览器打开

心醉咖啡

360

biue

腾讯电脑管家 1X

UNknownOoo

这族银狐居然还在活跃...利用火绒文件监控漏洞绕过火绒释放漏洞驱动那族（

https://bbs.kafan.cn/thread-2283958-3-1.html

默认设置火绒会被摸碎，专杀工具兜底能救回来

Rukia

UNknownOoo 发表于 2025-9-15 12:10
这族银狐居然还在活跃...利用火绒文件监控漏洞绕过火绒释放漏洞驱动那族（

https://bbs.kafan.cn/thread ...

漏洞驱动加载了，安全中心打不开，怎么关内核隔离用火绒的专杀工具。

UNknownOoo

Rukia 发表于 2025-9-15 12:35
漏洞驱动加载了，安全中心打不开，怎么关内核隔离用火绒的专杀工具。

我测试环境是关了内核隔离的，没遇到过这种情况...火绒专杀工具在内核隔离开启的环境下运行不了嘛？

Rukia

UNknownOoo 发表于 2025-9-15 13:35
我测试环境是关了内核隔离的，没遇到过这种情况...火绒专杀工具在内核隔离开启的环境下运行不了嘛？

嗯，运行不了。

wowocock

Rukia 发表于 2025-9-15 13:37
嗯，运行不了。

选择  隐私和安全性->WINDOWS 安全中心->设备安全性->内核隔离->内核隔离详细信息，选择关闭即可，开启内核隔离可能会和驱动有冲突，所以需要关闭。等扫描完成后再开启即可。

Curve25519

ESET Smart Security Premium 解压不报，扫描 kill

扫描日志
检测引擎的版本: 31861 (20250915)
日期: 2025/9/15  时间: 14:44:54
已扫描的磁盘、文件夹和文件: W:\Sandbox\Admin\DefaultBox\drive\W\InstallerSL\InstallerSL.msi
用户: DESKTOP-K07940I\Admin
W:\Sandbox\Admin\DefaultBox\drive\W\InstallerSL\InstallerSL.msi > MSI > Binary.Setup - Win64/Agent.FCM 特洛伊木马 的变量 - 已保留
已扫描的对象数: 29
检测数: 1
已清除的对象数: 0
完成时间: 14:44:56  总扫描时间: 2 秒 (00:00:02)

00006666

UNknownOoo 发表于 2025-9-15 12:10
这族银狐居然还在活跃...利用火绒文件监控漏洞绕过火绒释放漏洞驱动那族（

https://bbs.kafan.cn/thread ...

没拉黑火绒签名是这样的，这些漏驱是按进程名来干进程，很垃圾的，根本就没有什么对抗能力，驱动本身甚至都没有自保，结束服务后手删都行，以前真正的RKT都是用签名来干，比如以前常见的sf驱动，拉黑签名，用进程通知回调检测到对应签名就拦截启动就能让火绒专杀起不来了。复杂一点的RKT都直接检测特征，检测签名都不算什么了。当然现在这种漏驱，干进程名对付杀软确实挺有效的，能实现功能，因为你杀软基本都是固定进程名的，而且漏驱天生免杀，还不要买签名，专门开发木马驱动成本很高的，还要找人代签WHQL，所以现在趋势就是大家都去找漏驱了，专门的木马驱动很难见到了。

特别是火绒专杀这种单EXE带签名的，要拦截启动非常的简单，火绒专杀以后最好是出无签名版本。