恶意数签异常驱动 System32\wbem\tncfqqty.sys，Rootkit/W64.Agent.d，卡巴重启杀异常

显示全部楼层 · 发表于 2026-9-10 09:15:59

腾讯电脑管家18

显示全部楼层 · 发表于 2026-9-10 09:19:20

本帖最后由 wwwab 于 2026-9-10 09:21 编辑

驭龙发表于 2026-9-9 22:27
2016年就过期的证书，这不是掩耳盗铃吗？

就是因为2013-2015年签发的过期有效签名才会被Windows加载: https://bbs.kanxue.com/thread-272998-1.htm，才能通过DSE，否则需要微软WHQL签名。这是微软的机制。

显示全部楼层 · 发表于 2026-9-10 10:13:20

wwwab 发表于 2026-9-10 09:19
就是因为2013-2015年签发的过期有效签名才会被Windows加载: https://bbs.kanxue.com/thread-272998-1.htm ...

这个我听说过的，后面我也说这是为了绕过早期安全机制，据说微软就快放弃这种兼容了，不知道具体时间

显示全部楼层 · 发表于 2026-9-10 10:15:44

这系列的木马挂钩非常底层，而且对360急救箱做了专门针对处理，敢对抗就立刻给你黑屏重启，而且处理不好将导致系统无法启动。建议使用火绒恶性木马专杀查杀。

显示全部楼层 · 发表于 2026-9-10 11:32:33

c199529 发表于 2026-9-10 09:15
腾讯电脑管家18

电脑管家有没有进步

显示全部楼层 · 发表于 2026-9-10 15:38:32

本帖最后由 00006666 于 2026-9-10 16:05 编辑

驭龙发表于 2026-9-10 10:13
这个我听说过的，后面我也说这是为了绕过早期安全机制，据说微软就快放弃这种兼容了，不知道具体时间

在有内核隔离的现代WIN系统里面，这驱动都不可能允许运行，有VMP就不可能加载了，以后的系统还会强制开启内核隔离了，这种驱动以后就会绝版了。

显示全部楼层 · 发表于 2026-9-10 15:47:21

wwwab 发表于 2026-9-10 09:19
就是因为2013-2015年签发的过期有效签名才会被Windows加载: https://bbs.kanxue.com/thread-272998-1.htm ...

打个在证书有效期内的时间戳就不会显示证书过期了。

显示全部楼层 · 发表于 2026-9-10 15:49:27

驭龙发表于 2026-9-9 22:27
2016年就过期的证书，这不是掩耳盗铃吗？

打个在证书有效期内的时间戳就不会显示证书过期了，证书验证会看时间戳时间，那些老文件有时间戳就不会显示证书过期。

显示全部楼层 · 发表于 2026-9-10 16:37:59

00006666 发表于 2026-9-10 15:38
在有内核隔离的现代WIN系统里面，这驱动都不可能允许运行，有VMP就不可能加载了，以后的系统还会强制开启 ...

木马作者都有钱，买WHQL签名不是问题，至于加壳，还有其他办法，永远不要小看木马作者的顽强能力。

显示全部楼层 · 发表于 2026-9-10 19:29:04

这行为让我想起了早年那批WHQL Rootkit，也是VMP和类似的行为，是传奇微端带进来的，后来微软收紧签名政策后逐渐就见不到加壳的WHQL了

[病毒样本] 恶意数签异常驱动 System32\wbem\tncfqqty.sys，Rootkit/W64.Agent.d，卡巴重启杀异常