RING3绕过一切 Bios Rootkit

显示全部楼层 · 发表于 2008-6-9 16:03:06

Iclord.exe (events: 1)
2008/6/9 U 04:01:14 Placed in group Low Restricted
Iclord.exe (events: 1)
2008/6/9 U 04:02:11 Placed in group High Restricted
2008/6/9 U 04:02:19 C:\ICLORD.EXE Detected: Suspicious driver installation
2008/6/9 U 04:02:31 C:\ICLORD.EXE Detected: Suspicious driver installation
2008/6/9 U 04:02:31 C:\ICLORD.EXE Completed: Suspicious driver installation

显示全部楼层 · 发表于 2008-6-9 16:36:33

2008-06-09 16:34:40       注册表保护(删除注册表)    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IO_HLPER
注册表名称:[Key]
2008-06-09 16:34:36       应用程序保护(安装服务或者驱动)    操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:D:\eMule\Iclord\IO_HLPER.SYS
2008-06-09 16:34:33       注册表保护(创建注册表值)    操作:允许
进程路径:C:\WINDOWS\system32\services.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\IO_HLPER
注册表名称:[Key]
2008-06-09 16:34:30       应用程序保护(访问服务管理器)    操作:允许
进程路径:D:\eMule\Iclord\Iclord.exe
2008-06-09 16:34:26       文件保护(修改文件)    操作:允许
进程路径:D:\eMule\Iclord\Iclord.exe
文件路径:D:\eMule\Iclord\IO_HLPER.SYS
2008-06-09 16:34:23       应用程序保护(运行应用程序)    操作:允许
进程路径:D:\Program Files\Aston\aston.exe
文件路径:D:\eMule\Iclord\Iclord.exe
命令行:/install

－
绕你个头

[ 本帖最后由 spiha 于 2008-6-9 16:38 编辑 ]

显示全部楼层 · 发表于 2008-6-9 17:57:13

.。。必须针对指定主板。。我这里是定制版主板，实机运行没有事情。。。

显示全部楼层 · 发表于 2008-6-9 19:14:31

。。。
test only...

显示全部楼层 · 发表于 2008-6-9 19:46:46

第一包的分析结果都已经出来了，第二包的密码怎么还没报上来啊？？？？

Hello,

Iclord.exe_ - Rootkit.Win32.Agent.aqj,

New malicious software was found in this file. Detection will be included in the next update. Thank you for your help.

Please quote all when answering.

显示全部楼层 · 发表于 2008-6-9 20:06:29

“ring3绕过一切”这一类的话，看都不用看就知道是外行人的炒作了

显示全部楼层 · 发表于 2008-6-9 20:11:20

...ring0的驱动就可以绕过r3了..唉，更何况BIOS Rootkit最终目的还是加载一个驱动...无视中

显示全部楼层 · 发表于 2008-6-9 22:11:18

McAfee MISS

显示全部楼层 · 发表于 2008-6-9 22:22:20

主板的bios有防写保护的也可以防

[病毒样本] RING3绕过一切 Bios Rootkit