这个穿透了影子2008了吗？

显示全部楼层 · 发表于 2009-1-6 13:05:37

原帖由 jmzz 于 2009-1-6 13:01 发表
在金钟罩下运行该样本，等了10多分钟，重启恢复后一切正常哦。

注册表里没有那个控件的信息，有没有其他的现象？

金钟罩没加载驱动？

显示全部楼层 · 发表于 2009-1-6 13:12:43

原帖由 fufuji97 于 2009-1-6 13:05 发表

金钟罩没加载驱动？

什么意思？

我在金钟罩保护下执行那个连接的样本测试的，用EQ看到了你提到的两个驱动，并且都允许运行了

http://bbs.kafan.cn/viewthread.php?tid=401780&page=1#pid6112866

显示全部楼层 · 发表于 2009-1-6 13:15:15

原帖由 jmzz 于 2009-1-6 13:12 发表

什么意思？

我在金钟罩保护下执行那个连接的样本测试的，用EQ看到了你提到的两个驱动，并且都允许运行了

http://bbs.kafan.cn/viewthread.php?tid=401780&page=1#pid6112866

允许加载驱动就会跳出文件保护，这个是驱动能穿透的关键，

显示全部楼层 · 发表于 2009-1-6 13:16:52

你的意思是不运行EQ，直接在金钟罩保护下执行样本？

显示全部楼层 · 发表于 2009-1-6 13:19:01

原帖由 jmzz 于 2009-1-6 13:16 发表
你的意思是不运行EQ，直接在金钟罩保护下执行样本？

我的ssm是学习模式，一律允许，不然早把这个样本干掉了。他加载第一个dll的时候就被报木马了，别说后边的驱动加载了，

测试穿透当然是一律允许，呵呵

显示全部楼层 · 发表于 2009-1-6 13:20:46

说错了一点，样本下来就被报木马了

显示全部楼层 · 发表于 2009-1-6 17:53:36

我就是传说中的“举报者”

显示全部楼层 · 发表于 2009-1-6 18:00:40

原帖由 woods12345 于 2009-1-6 17:53 发表
我就是传说中的“举报者”

驱动不会是你做的吧

显示全部楼层 · 发表于 2009-1-7 07:28:20

我得小心点这个病毒了！我的SD不知道能不能放住，呵呵，comodo应该可以防住！

显示全部楼层 · 发表于 2009-1-7 10:36:42

提取来的驱动，根据导入表分析：

acpiec.sys应该是用来恢复SSDT表和Kill杀软进程的

pcidump.sys则是穿透影子系统的“元凶”！

两个驱动文件，我这里上传了，别随便加载着玩哦！

[讨论] 这个穿透了影子2008了吗？