干掉KV 2008, Rising等大部分杀软

显示全部楼层 · 发表于 2008-5-4 16:29:25

转自看雪`
利用驱动结束掉大部分的安全软件(eg. KV 2008, 瑞星,微点, 360),禁止一些ARK(反rootkits安全工具)的运行.(当然,不考虑主动防御如何禁止驱动的加载,现在前提是驱动已经加载.所以只讨论一个层面)

附件为测试程序. 请不要在主机上运行. 万一中毒,设置注册表的修改权限为"完全禁止",重启后删除C:\WINDOWS\SYSTEM32\Driver\sudami.sys 即可.

显示全部楼层 · 发表于 2008-5-4 16:30:57

Starting the file scan:

Begin scan in 'E:\AV\kill_SecuritySoftware.rar'
E:\AV\kill_SecuritySoftware.rar
  [0] Archive type: RAR
  --> sudami.exe
   [DETECTION] Is the Trojan horse TR/Autorun.DE
   [NOTE]    The file was deleted!

显示全部楼层 · 发表于 2008-5-4 16:32:56

蜘蛛

kill_SecuritySoftware.rar\sudami.exe Trojan.StartPage.21096

显示全部楼层 · 发表于 2008-5-4 16:36:04

微点砍掉

显示全部楼层 · 发表于 2008-5-4 16:36:13

红伞开中启杀之
Begin scan in 'D:\Downloads\样本\kill_SecuritySoftware.rar'
D:\Downloads\样本\kill_SecuritySoftware.rar
  [0] Archive type: RAR
  --> sudami.exe
   [DETECTION] Is the Trojan horse TR/Autorun.DE
   [NOTE]    The file was moved to '488975c5.qua'!

End of the scan: 2008年5月4日  16:35
Used time: 00:03 min

显示全部楼层 · 发表于 2008-5-4 16:38:46

Jiangmin AntiVirus report

Beijing Jiangmin New Sci & Tec. Co. Ltd.

Scan engine 11.00.703
lib data 2008-05-03
   Update data 2008-05-04

Scan object: D:\Desk\Samples\Collect\sudami.exe

Start time:2008-05-04 16:38:23

in D:\Desk\Samples\Collect\sudami.exe found Worm/AutoRun.yy virus, Found Virus
completed.

scan result:
               files :1                                  virus :1
  delete :0                                  kill virus :0
   scan speed(Kb/sec) :0                         scan time :00:00:00

显示全部楼层 · 发表于 2008-5-4 16:39:18

卡巴：Worm.Win32.AutoRun.dbp

显示全部楼层 · 发表于 2008-5-4 16:41:11

程序运行后: 1. 5ms一次遍历安全软件进程，发现就kill掉。很暴力~~~ 2. 修改IE首页,反复写注册表 3. 隐藏sudami.sys,文件占炕,防止被删

显示全部楼层 · 发表于 2008-5-4 17:00:46

McAfee found nothing

显示全部楼层 · 发表于 2008-5-4 17:56:36

C:\Documents and Settings\Administrator\桌面\kill_SecuritySoftware.rar >>RAR >>sudami.exe - Win32/AutoRun.KT 蠕虫

[病毒样本] 干掉KV 2008, Rising等大部分杀软

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块