银狐相关的驱动，WHQL，疑似恶意，部分分析

显示全部楼层 · 发表于前天 01:28

本帖最后由 ANY.LNK 于 2026-4-15 01:34 编辑

这个帖子来的https://bbs.kafan.cn/thread-2290698-1-1.html，基于驱动暴露出的PDB进行反查找到https://github.com/PxVIP/PoisonX/，为银狐常见使用的远控RAT之一

（https://www.bilibili.com/video/BV1XYv6BREQt/ 0:30处可见对应的Hide.sys）

两个IOCTL，一个获取进程信息后KeStackAttachProcess，另一个直接结束进程

外加单WHQL签名，我怀疑这并非https://core-jmp.org/2026/04/sig ... le-crowdstrike-edr/所述的漏洞驱动，而是由银狐方面定制的专门用来干杀软的驱动

部分安全软件已入库

显示全部楼层 · 发表于前天 09:33

火绒早都全入库了。

显示全部楼层 · 发表于前天 20:42

显示全部楼层 · 发表于前天 22:40

wowocock 发表于 2026-4-15 09:33
火绒早都全入库了。

嗯，看到了。这里主要是为了说一下我对这批驱动的判断，不是单纯的漏洞驱而是恶意驱

显示全部楼层 · 发表于昨天 00:47

腾讯电脑管家18

emmmm...18个驱动只报2个
---------------------
2026-4-16 00:45:09 MD5:e4704b728eb6daeeb780688786303c4f
Drivers\PoisonX10.sys [Win32.Trojan.W64.Vimw]
2026-4-16 00:45:09 MD5:560989542e657f995ef0560ef7bba355
Drivers\PoisonX3.sys [Win32.Trojan.W64.Dnhl]
---------------------

显示全部楼层 · 发表于昨天 19:16

我去敦促卡巴入库了

显示全部楼层 · 发表于昨天 22:43

BD通用检测Rootkit.AgentM.I
18个全杀

[病毒样本] 银狐相关的驱动，WHQL，疑似恶意，部分分析

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源