-
-
未解决 [求助]现在的驱动都可以盗用微软的签名了吗
-
发表于: 2020-5-31 09:45
-
昨天测试某个软件的时候，发现了个很新颖的驱动，截图如下
%20
签名选项直接是Microsoft Windows 用PChunter看，也是微软签名，不知道有没有朋友遇到过这种情况，到底是什么技术实现的呢
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
对 大小什么的都是一样的 而且我用010 Editor对比了下 字节都是一样的 这就纳闷了 到底怎么加载上的啊 |
|
|
minifilter的可能性不大 问了几个朋友都说是文件替换了 但是如果这样 不就相当于加载了两个pcw.sys了吗 |
|
|
参考楼下回答
最后于 2020-5-31 15:35
被fatcateatrat编辑
，原因：
|
|
|
我很好奇楼主是不是作死用老ark，普通的r3工具和右键去检测的活动rootkit 活动rootkit直接一个重定向就这样了，或者加载后自删除随便copy个驱动改成同名丢同目录
最后于 2020-5-31 15:19
被killleer编辑
，原因：
|
|
|
你是不是把驱动加载了然后去看的？？？？？ 
|
|
|
额 我已经知道怎么回事了。多谢多谢。。。。。。。。。。。。。。 |
hzqst
