关于阻止ARK工具的运行..

显示全部楼层 · 发表于 2009-5-16 11:01:24

XueTr这类ark加载驱动用的是很常规的方法，被驱动防火墙拦下没什么可奇怪的，没必要用非常规的方法加驱。
驱动防火墙没什么意思，就算不设白名单，全局阻止，还一样被机器狗穿透。

病毒不太可能像驱动防火墙那样阻止所有第三方驱动加载，最多根据特征拦截。
我一般不担心ark被病毒屏蔽，像磁碟机、hbkernel这些屏蔽IS的，改几个特征IS都能正常工作了。

显示全部楼层 · 发表于 2009-5-16 11:42:14

md5防吗？有意思，随便改下程序，就可以改变程序的md5。
md5拦截ark，靠不住。

显示全部楼层 · 发表于 2009-5-16 11:44:06

不加驱动就进不了ring0了

。。。
我无语了。

显示全部楼层 · 发表于 2009-5-16 11:44:54

不明白ring0下的病毒是啥样子的。。。

显示全部楼层 · 发表于 2009-5-16 12:16:24

不过防ark运行，这个方法确实变态。全部禁止加载驱动了。
和陈辉大侠以前聊过，他说一些病毒要想限制天琊运行，要不就是直接阻止启动加驱。。

显示全部楼层 · 发表于 2009-5-16 21:26:53

累才好玩嘛！

显示全部楼层 · 发表于 2009-5-16 23:42:13

我用HIPS软件后，啥软件都可以防，如用SSM＋EQ的FD，都锁上，没经允许的都运行不了

显示全部楼层 · 发表于 2009-5-17 00:04:44

原帖由 wolfwalk888 于 2009-5-16 07:12 发表
 http://bbs.pediy.com/showthread.php?t=53597
看下ring3无驱进ring0的方法吧。

这个太火星了吧

拦截驱动很正常，毕竟正规软件加载驱动的方法是很常见，拦截起来很简单的

问题是病毒的驱动，加载手段很是。。。，呵呵

显示全部楼层 · 发表于 2009-5-17 00:34:21

有牛人说狙剑的主动防御就很猥琐

显示全部楼层 · 发表于 2009-5-17 01:41:08

我用过SSM,被病毒搞定了,用EQ加NOD32,也被搞定了!
病毒发作很明显,就是只允许运行系统,其它所有程序都双击就没反应了,也没进程!冰刃和WSYSCHECK也一样是双击没反应,那时候还没有XUETR..
后来因为没办法打开任何工具,只能重装系统解决!

攻和防同时存在,冰刃现在都几乎被病毒无视了.我认为只要一个软件出名了,就会招惹更多的人去研究它..那它的升级才是技术的进步所在.可惜作者都消失了...

[讨论] 关于阻止ARK工具的运行..

回复 6楼 lifetouch 的帖子

回复 7楼 vistabull 的帖子

回复 9楼 lifetouch 的帖子

回复 2楼 wolfwalk888 的帖子

回复 18楼 smilediy 的帖子