[胡扯]微点在检测IFEO方面好脆弱啊

查看文章

[胡扯]微点在检测IFEO方面好脆弱啊

2008年04月20日星期日 19:34

最近没闲着,专业课的东西太烦了.索性利用周末的时间放松下,摸一摸久违的驱动.正在逆mp110003.sys,看到一个函数,调用几个太容易被做手脚的API来避免自己不被病毒重定向.太仓促了吧~

ZwOpenKey、ZwEnumerateKey、ZwDeleteKey

而且N多变量定义了也没用，浪费宝贵的内存空间，驱动写的不规范啊~

1. 简单分析:

然后很神奇的发现,微点在宏观上对付病毒的IFEO劫持伎俩还是不错的: 开启一个系统线程,反复的检测自己是否被劫持.很无语...

2. 突破思路:

MP对驱动的监视不是很严格，搞个一般的驱动，hook掉几个更底的操作注册表的函数CmXXXX, 让MP在调用ZwOpenKey、ZwEnumerateKey、ZwDeleteKey这些函数时失效,然后加个DPC反复回写IFEO,劫持掉微点的MPUpdate.exe,只要微点一升级,病毒就运行一次, 然后病毒再启动微点的升级程序...

至于如何hook底层函数,网上都有相关资料,那几个CmXXX,大家可以参看WRK,比如在ZwDeleteKey函数内部会调用CmpCallCallBacks等,可以考虑考虑,XX之...

这样简单的IFEO操作,突破微点都不难...微点要继续加强哦~~~

btw:发现很多时候,放个BIN,然后被热心的同学上报到微点官方,然后微点官方很开心的提取特征码,然后BIN就被识别,接着就被扼杀了... 不过这到和主动防御没什么关系咯 - -

ps:随便写写,没有任何恶意,就不用瞎起哄了吧; 有兴趣的可以自己写点code测试下 .

类别：Note | 浏览() | 评论 (15)