#Confirmed(2/2) #Silverfox #RAT

啊松

pal家族 发表于 2026-6-19 21:24
必须的 小作文已经发过去了

写小作文让他们入库一下漏驱可以吗.卡巴斯基那群猪头每次都不肯入库漏驱

pal家族

啊松 发表于 2026-6-19 21:56
写小作文让他们入库一下漏驱可以吗.卡巴斯基那群猪头每次都不肯入库漏驱

这个我不会啊。他们貌似对带数字签名的合法驱动一般不拦截。
他们认为可以用主防拦截expoit就行

DisaPDB

pal家族 发表于 2026-6-19 22:01
这个我不会啊。他们貌似对带数字签名的合法驱动一般不拦截。
他们认为可以用主防拦截expoit就行

依旧IRP大神
依旧漏挂派遣函数
依旧被杀

wwwab

啊松 发表于 2026-6-19 21:56
写小作文让他们入库一下漏驱可以吗.卡巴斯基那群猪头每次都不肯入库漏驱

就是利用普通的ZwTerminateProcess漏洞驱动杀进程，IOCTL 0x2420031 结束进程

DisaPDB

1. java.exe 加载 jli.dll
   
2.     │
   
3.     ├─ DllEntryPoint (DLL_PROCESS_ATTACH)
   
4.     │   ├─ __security_init_cookie()
   
5.     │   └─ sub_1800C045C()
   
6.     │       ├─ sub_1800C0270()        // C 运行时初始化
   
7.     │       └─ sub_18007AF80()        // .NET 运行时启动
   
8.     │
   
9.     ├─ TlsCallback_0 (TLS 回调)
   
10.     │   └─ 遍历函数指针表执行
    
11.     │
    
12.     └─ java 调用 JLI_Launch / 任意 JLI_*
    
13.         │
    
14.         └─ sub_180052720() 模块构造函数
    
15.             │
    
16.             ├─ FreeConsole()          // 脱离控制台（隐蔽）
    
17.             ├─ 阶段1: 读取配置键
    
18.             ├─ 阶段2: 构建启动字符串
    
19.             ├─ 阶段3: 类型预解析循环 (x10)
    
20.             │
    
21.             ├─ if (byte_180135858[4])
    
22.             │   └─ sub_180056380() 恶意信标循环
    
23.             │       └─ while(1) {
    
24.             │           sub_180056420()   // C2 通信
    
25.             │           Sleep(250)        // 250ms 间隔
    
26.             │       }
    
27.             │
    
28.             └─ SSE 全比较检查
    
29.                 └─ sub_18004FAB0()    ★ 8 阶段密钥派生

复制代码

啊松

卡巴的最新病毒库貌似可以阻止加驱，但是没法阻止启动项

Myrenaser

EES扫描：Tax-Number919863.img  →  A variant of Win64/Aotera.JQ Trojan
又是一个没见过的特征

wwwab

DisaPDB 发表于 2026-6-19 21:41
2.exe疑似也是恶意
360&微软都出拉黑报法了

2.exe是"SHAB.dll"加载器——将构造好的WinOS远控配置字符串作为参数，调用load函数——主要功能应该在"SHAB.dll"中的dllmain函数和load函数中，样本中没有提供"SHAB.dll"

@川建国代{过}{滤}理人

DisaPDB

wwwab 发表于 2026-6-19 22:17
2.exe是"SHAB.dll"加载器——将构造好的WinOS远控配置字符串作为参数，调用load函数——主要功能应该在"S ...

是的 这是LoadLibrary加载器

DisaPDB

sub_10006580 通过 CreateToolhelp32Snapshot + Process32FirstW/NextW 遍历所有进程，wcscmp 逐项比对进程名。同时还通过 Windows Security Center (WSC) 的 WMI 接口 root\SecurityCenter2 查询 AntiVirusProduct，然后去 HKEY_CLASSES_ROOT\CLSID\{GUID} 读取产品的显示名称。

下面是对抗的杀毒软件进程名：

1. "UnThreat.exe", "K7TSecurity.exe", "ad-watch.exe", "PSafeSysTray.exe",
   
2.     "vsserv.exe", "remupd.exe", "rtvscan.exe", "ashDisp.exe",
   
3.     "avcenter.exe", "TMBMSRV.exe", "knsdtray.exe", "egui.exe",
   
4.     "Mcshield.exe", "avp.exe", "f-secure.exe", "avgwdsvc.exe",
   
5.     "V3Svc.exe", "acs.exe", "SPIDer.exe", "cfp.exe",
   
6.     "mssecess.exe", "QUHLPSVC.EXE", "RavMonD.exe", "KvMonXP.exe",
   
7.     "baiduSafeTray.exe", "BaiduSd.exe", "HipsTray.exe", "QQPCRTP.exe",
   
8.     "KSafeTray.exe", "kxetray.exe", "360sd.exe", "ZhuDongFangYu.exe",
   
9.     "360tray.exe", "360Tray.exe", "360Safe.exe"

复制代码