与影子系统客服交流记

显示全部楼层 · 发表于 2009-5-8 21:25:00

我么？把那样本给他一个啊

显示全部楼层 · 发表于 2009-5-8 21:27:23

我描述一下过程，样本先释放pcidump驱动，加载，然后释放acpiec.sys驱动，替换系统文件，第二个无加载的提示

显示全部楼层 · 发表于 2009-5-8 21:32:00

给个样本吧…
顺便问一下，不是说驱动加载了，HIPS就拦截不到了么？

显示全部楼层 · 发表于 2009-5-8 21:37:19

又不是ssdt恢复，不可能拦不到信息的，不然后边的全盘感染我怎麽能知道呢

显示全部楼层 · 发表于 2009-5-8 21:40:07

原来如此，又学到了…
按照你所说，你的理论可能性大，不过给别人样本慢慢玩吧

显示全部楼层 · 发表于 2009-5-8 21:50:06

如果第1个是干活的穿透用的,它可以把第2个保存到实际磁盘,系统重启后也就启动了,而第2个是个下载者,狂下东西

显示全部楼层 · 发表于 2009-5-8 21:58:23

97说不是…

显示全部楼层 · 发表于 2009-5-8 21:58:56

显示全部楼层 · 发表于 2009-5-8 22:00:27

重启是没有pcidump这个驱动的，第二个的确有，而且释放感染病毒

我的桌面虽然调不出来，但是开机有没有新驱动，我还是能知道的

显示全部楼层 · 发表于 2009-5-8 22:03:17

这样推理来说确实97的理论支持

回复 183楼 shinequan 的帖子