Exploit/VulnDriver

soaringmz

他这个驱动不是2016就到期了吗？为什么还是显示签名正常

1. https://opentip.kaspersky.com/70FE572AC74484EB0FCAB43FF826AFC7E170A3FDF5A705E99D3D625D6CA2A42C/results?tab=upload

复制代码

1. https://opentip.kaspersky.com/899F6255FE212018900555CE53A3C60FD4CEA568323D47872F7C87E088000B9F/results?tab=upload

复制代码

1. https://opentip.kaspersky.com/28C5BB735F9FC38E0EBD366978898F0CFCD455E4FF8BF1A321768B09E01EE84D/results?tab=upload

复制代码

fdsax

es被干掉后十秒钟会复活

wowocock

让后台去入库了。
__int64 __fastcall sub_111E8(struct _DEVICE_OBJECT *a1, IRP *a2)
{
  unsigned int v3; // edx
  struct _IO_STACK_LOCATION *CurrentStackLocation; // rax
  void **MasterIrp; // rbx

  v3 = 0;
  if ( a1 == DeviceObject )
  {
    CurrentStackLocation = a2->Tail.Overlay.CurrentStackLocation;
    if ( CurrentStackLocation->MajorFunction == 14 )
    {
      switch ( CurrentStackLocation->Parameters.Read.ByteOffset.LowPart )
      {
        case 0x8505E000:
          v3 = sub_1137C(a2->AssociatedIrp.MasterIrp, CurrentStackLocation->Parameters.Read.Length);
          break;
        case 0x8505E004:
          qword_13148 = *(_QWORD *)a2->AssociatedIrp.MasterIrp;
          *(_DWORD *)a2->AssociatedIrp.MasterIrp = ObReferenceObjectByHandle(
                                                     (HANDLE)qword_13148,
                                                     0x1F0003u,
                                                     0i64,
                                                     0,
                                                     &Event,
                                                     0i64) == 0;
          goto LABEL_8;
        case 0x8505E008:
          MasterIrp = (void **)a2->AssociatedIrp.MasterIrp;
          *(_DWORD *)MasterIrp = sub_1142C(*MasterIrp) != 0;
LABEL_8:
          v3 = 4;
          break;
      }
    }
  }
  a2->IoStatus.Status = 0;
  a2->IoStatus.Information = v3;
  IofCompleteRequest(a2, 0);
  return 0i64;
}
char __fastcall sub_1142C(void *a1)
{
  NTSTATUS v2; // eax
  NTSTATUS v4; // eax
  struct _CLIENT_ID ClientId; // [rsp+20h] [rbp-48h] BYREF
  struct _OBJECT_ATTRIBUTES ObjectAttributes; // [rsp+30h] [rbp-38h] BYREF
  void *ProcessHandle; // [rsp+70h] [rbp+8h] BYREF

  ProcessHandle = 0i64;
  memset(&ObjectAttributes.RootDirectory, 0, 0x28ui64);
  memset(&ObjectAttributes.RootDirectory, 0, 20);
  ObjectAttributes.SecurityDescriptor = 0i64;
  ObjectAttributes.SecurityQualityOfService = 0i64;
  ClientId.UniqueThread = 0i64;
  ObjectAttributes.Length = 48;
  ClientId.UniqueProcess = a1;
  v2 = ZwOpenProcess(&ProcessHandle, 0x1FFFFFu, &ObjectAttributes, &ClientId);
  if ( v2 < 0 )
  {
    DbgPrint("xkpsm : ZwOpenProcess Error [%d]\n", (unsigned int)v2);
    return 0;
  }
  v4 = ZwTerminateProcess(ProcessHandle, -1073741823);
  if ( v4 < 0 )
  {
    DbgPrint("xkpsm : ZwTerminateProcess Eror [ %d ]\n", (unsigned int)v4);
    return 0;
  }
  if ( ProcessHandle )
    ZwClose(ProcessHandle);
  return 1;
}

wowocock

心醉咖啡 发表于 2026-5-9 00:11
360扫描miss

file :C:\escsvc\vuldriver\xkpsm.sys
level :70
exlevel :0
拉黑很快

莒县小哥

嘿嘿不能说

wowocock 发表于 2026-5-9 09:25
file :C:\escsvc\vuldriver\xkpsm.sys
level :70
exlevel :0

杀毒跟卫士是不是共享云缓存的，我先用卫士扫了这两货已经是Trojan.Generic，断网干掉卫士之后杀毒监控就把exe干掉了。。。。。。（还是他升级成功了？）

当然如果我禁了杀毒的升级，然后也不联网用卫士先扫这两货的话，那又可以乱杀了（







还是配合断网debuff食用更佳啊（

c199529

腾讯电脑管家18

不报毒

lsop1349987

emsi

1. 5/9/2026 9:17:53 PM
   
2. 行为监控检测 可疑行为 "ServiceInstallation" 来自于 C:\Users\admin\Desktop\Project1.exe (SHA1: 6B69572EB07248C61D11855387FA470B9924F46C)

复制代码

非最新：Sophos，avast，Avira  miss

驭龙

天守beta，拿下，解压以后监控是杀的，但我没等处理就双击了，不过也正常拦截