#WHQL #WHCP #Rootkit #Valkyrie-bot #Botnet

显示全部楼层 · 发表于 2026-7-11 01:58:49

分析：https://x.com/nextronresearch/status/2075114506783494533

Atbash字符串混淆，IOCTL验证用魔法字符串：ilovelolis, smokeweed, lunariel，任意内存访问和复制，混淆的内核API解析，魔法常量0x94B71E11AFCA1123等

SpcSpOpusInfo：北京元升润科技有限公司，设备名：\.\MEMCHK64

显示全部楼层 · 发表于 2026-7-11 05:13:48

卡巴斯基天守未检出

显示全部楼层 · 发表于 2026-7-11 06:49:29

BD 扫描missed

显示全部楼层 · 发表于 2026-7-11 10:21:44

360扫描miss

显示全部楼层 · 发表于 2026-7-11 10:28:14

真是服了微软WHQL乱发了。每次卡巴遇到这种都是KSN受信任。这还检出个毛。

显示全部楼层 · 发表于 2026-7-11 11:53:37

趋势科技云端版(95码)

显示全部楼层 · 发表于 2026-7-11 13:11:27

本帖最后由 wwwab 于 2026-7-11 13:12 编辑

用户态Dropper我拉下来了:

另外，这个肯定是挂哥的驱动，挂哥的驱动都这样，不奇怪。
我根据这个驱动Hunter到一堆挂哥的驱动，全是这种 MmCopyVirtualMemory, MmMapIoSpace 任意内存访问和复制的:

显示全部楼层 · 发表于 2026-7-12 01:35:56

eis kill

[病毒样本] #WHQL #WHCP #Rootkit #Valkyrie-bot #Botnet

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源