#WHCP #WHQL #Rootkit #DSE-Bypass？

显示全部楼层 · 发表于 2026-6-15 23:19:27

本帖最后由 ANY.LNK 于 2026-7-2 21:50 编辑

使用Windows固件表作为内核-用户通信渠道

注册名为BSBS的自定义固件提供程序

支持内存分配、内存复制和从用户到内核的间接函数解析

显示全部楼层 · 发表于 2026-6-15 23:28:40

显示全部楼层 · 发表于 2026-6-16 08:04:21

卡巴和avast扫描MISS

显示全部楼层 · 发表于 2026-6-16 08:29:21

显示全部楼层 · 发表于 2026-6-16 09:09:37

emsi扫描miss

显示全部楼层 · 发表于 2026-6-16 09:55:39

R0注册SystemRegisterFirmwareTableInformationHandler回调, R3通过NtQuerySystemInformation的SystemFirmwareTableInformation把数据通讯传到R0的回调函数，最好提供下配套的R3程序。

显示全部楼层 · 发表于 2026-6-16 13:14:35

本帖最后由 ANY.LNK 于 2026-6-17 18:38 编辑

wowocock 发表于 2026-6-16 09:55
R0注册SystemRegisterFirmwareTableInformationHandler回调, R3通过NtQuerySystemInformation的SystemFirm ...

没有直接捕获到R3的程序，但这些个驱动的SpcSpOpusInfo显示与“深圳市奥联信息安全技术有限公司”（不确定是不是伪造或冒充的）有关联

我去问问发现者

好吧他们也没发现

看PDB描述说与改GPU PTE有关？

显示全部楼层 · 发表于 2026-6-17 23:57:49

腾讯电脑管家18

显示全部楼层 · 发表于 2026-6-19 21:07:04

MD现已双杀提示为：Trojan:Win64/RootkitDrv!MSR。

[病毒样本] #WHCP #WHQL #Rootkit #DSE-Bypass？