高质量，Ring3下感染MBR

显示全部楼层 · 发表于 2011-4-1 12:49:43

感觉我就是个纯粹的扫描党，楼上的那些技术分析完全看不懂

显示全部楼层 · 发表于 2011-4-1 13:03:09

回复 11楼 qianyuqx 的帖子

其实很好理解，
系统本身就是一款软件
底层操作是指，在未进入系统前，就进行操作
而同是，他又独立于系统之外！
鬼影就是利用这个原理，在磁盘的扇区进行感染，而我们要进入系统用才启动杀毒，而他早于杀毒之前启动，同是，我们进入系统之后，又查找不出，这个母体，因为同在系统之外，系统看不到！

显示全部楼层 · 发表于 2011-4-1 13:08:59

本帖最后由 qianyuqx 于 2011-4-1 13:10 编辑

回复 12楼李不知的帖子

这个很像BIOS的开机加电自检过程喽?检查确定没问题，再将系统载入

显示全部楼层 · 发表于 2011-4-1 13:09:13

本帖最后由 michaelchina 于 2011-4-1 13:10 编辑

回复 12楼李不知的帖子

内核加固拦截，还有木马防御拦截

显示全部楼层 · 发表于 2011-4-1 13:12:24

回复 14楼 michaelchina 的帖子

OK
瑞星本地很强悍
谢谢测试

显示全部楼层 · 发表于 2011-4-1 13:13:03

回复 13楼 qianyuqx 的帖子

恩，有点像

显示全部楼层 · 发表于 2011-4-1 13:13:57

金山卫士下载后拦截

显示全部楼层 · 发表于 2011-4-1 13:15:23

to BitDefender

显示全部楼层 · 发表于 2011-4-1 13:23:10

nazisoft 发表于 2011-4-1 12:05
鬼影初代及其多个变种是需要加载驱动的，废除了驱动就无法感染；而这个样本是低层操作磁盘实现感染，整个过 ...

除了mbr被改，貌似重启后无异常啊

显示全部楼层 · 发表于 2011-4-1 13:43:32

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update.
Thank you for your help.

Backdoor.Win32.Phanta.u

Regards, Ivan Akimov,
Virus Analyst

[病毒样本] 高质量，Ring3下感染MBR