發新話題
打印

[測試] 第4種 進 Ring 0 的方法

第4種 進 Ring 0 的方法

http://bbs.kafan.cn/viewthread.php?tid=225314

运行后有提示尽可阻止,等上一两分种,看你的所用的hips会被它过吗?当然组策略我只关心基本用户,你不允许肯定不会被过,呵呵
中招症状:
1.ssdt全被恢复,hips保护失效
2.会在系统中生成一个木马程序,联网下载

保险起见,请在影子下或vm中运行病毒,在vbox下此毒无效。
-----------
by  sxingbai
附件: 您所在的用戶組無法下載或查看附件

TOP

回復 1# 的帖子

看來現在要過HIPS只剩下Ring0
要看是HIPS還是病毒比較深入系統核心

如果微軟自己出HIPS 應該會非常強 因為系統核心的某些秘密只有他知道

TOP

目前有方法 可以封鎖 SSDT 不被恢復嗎
這個功能 最近被研究很大
手邊也有這個源碼 雖然目前只能查看
一旦被恢復 很多防軟都失效
可比 IFEO 劫持更利害
想研究如何保護此功能 不被更改
以技術為本 造福他人 為眾人所幸
以技術為惡 危害他人 為眾人所指
解決問題的順序:
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔,尤其是 Run 的內容
3. 不要急,先翻書瞭解相關問題的原理,再設法解決
4. 利用關鍵字,在 論壇內 或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了,再在討論區以明確的標題來發問

TOP

回復 3# 的帖子

依照目前統計,需要4個方法:

1.載入驅動
2.存取實體記憶體
3.監控系統除錯模式
4.低階 寫 磁碟操作

TOP

McAfee Generic.rootkit.d
McAfee上報信箱:Virus_Research@avertlabs.com
加壓ZIP密碼:infected
打破Intel一家獨大局面,支持AMD提供用戶更好的效能表現
AMD Phenom X4 獨"一"無"二" 強"四"登場

TOP

回復 4# 的帖子

果然回歸到最後 還是要驅動級才能解決
不過想一想 是否目前可以瀏覽SSDT
不知道可否備份下來 雖然被恢復了
但我們也可以還原回去
這法 不知可否
以技術為本 造福他人 為眾人所幸
以技術為惡 危害他人 為眾人所指
解決問題的順序:
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔,尤其是 Run 的內容
3. 不要急,先翻書瞭解相關問題的原理,再設法解決
4. 利用關鍵字,在 論壇內 或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了,再在討論區以明確的標題來發問

TOP

回復 6# 的帖子

也得先 砍掉病毒呀,

不然,還原回來,病毒再恢復,就這樣一直循環

TOP

回復 7# 的帖子

嗯 除非病毒本身會一直監控 SSDT
在IFEO 劫持我的作法是 先恢復它 再判斷是何種病毒
若能手動刪除就去刪除它
最後開啟防毒功能去全系統掃瞄

依 SSDT 技術來說 雖是驅動級 若能找出該驅動檔
先行刪除並注入疫苗方式 讓其無法執行

現在 病毒技術越來越強 再搭配ROOTKIT 就很難去發現
以技術為本 造福他人 為眾人所幸
以技術為惡 危害他人 為眾人所指
解決問題的順序:
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔,尤其是 Run 的內容
3. 不要急,先翻書瞭解相關問題的原理,再設法解決
4. 利用關鍵字,在 論壇內 或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了,再在討論區以明確的標題來發問

TOP

總之 最後結論是
想要碰到SSDT 還是要驅動級才行

TOP

回復 9# 的帖子

呵呵 要寫入或保護的話 可能還是需要使用到驅動
這部份技術性很高 需要好好研究研究了

對於 SSDT 還有很多不懂的地方
還要請大家給予指教

277        當前地址:0xF47963D0        內核模塊:C:\WINDOWS\system32\drivers\klif.sys
真實地址:0x8058798B        IsHook:Yes        函數:NtWriteVirtualMemory

上面那段是 分析出來的一段 應該是 卡巴斯基的驅動
並且所調用的函數及其他位置資料

比較不了解的是 那個 當前位置與真實位置 是固定還是變動
如一般規則來判斷 真實位置應該是不變的 當前位置應是會變動
所以在還原回去時 也要指定真實位置給它 否則可能無法運作
這樣說法不知正不正確
以技術為本 造福他人 為眾人所幸
以技術為惡 危害他人 為眾人所指
解決問題的順序:
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔,尤其是 Run 的內容
3. 不要急,先翻書瞭解相關問題的原理,再設法解決
4. 利用關鍵字,在 論壇內 或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了,再在討論區以明確的標題來發問

TOP

等了10分鐘
KAV的SSDT沒有被還原
Lawliet's blog
Folding@home with GPGPU集中討論串,大家一起來努力朝著全球制霸的目標邁進!

TOP

回復 11# 的帖子

是實機還是虛擬機呢
我那台測試機 目前另有作用 要晚點才能測
KAV 沒有發報 有可疑檔案嗎

剛稍微測一下 卡巴 有發報
Trojan-Proxy.Win32.Wopla.ag

[ 本帖最後由 upside 於 2008-3-29 13:25 編輯 ]
以技術為本 造福他人 為眾人所幸
以技術為惡 危害他人 為眾人所指
解決問題的順序:
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔,尤其是 Run 的內容
3. 不要急,先翻書瞭解相關問題的原理,再設法解決
4. 利用關鍵字,在 論壇內 或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了,再在討論區以明確的標題來發問

TOP

當然是關了引擎測試的
在虛擬機下測試樣本
我不可能用實機來測試

我測過阻止以及不阻止兩種
阻止後10分鐘內SSDT沒有被還原
沒有阻止SSDT馬上被還原
Lawliet's blog
Folding@home with GPGPU集中討論串,大家一起來努力朝著全球制霸的目標邁進!

TOP

有没有类似微点或者江民的用户

这类杀毒软件每隔一段时间会自动重新挂 SSDT

看看能否解决这类杀毒软件的 SSDT HOOK

TOP

發新話題