一般在进行常规的ring0级别的windows调试的时候都会使用windbg。但是有的时候windbg中断过于频繁，比方说经常会出现这样的场景，需要追踪一个特定的被删除的文件backdoor.exe，backdoor.exe被杀毒软件删除掉了，想观察到backdoor.exe被删除的完整的栈回溯。这个时候使用ollydbg进行追踪下断或者使用官方的监控工具procmon.exe往往是徒劳的。一般来说杀毒软件都是通过deviceiocontrol下发相关的iocode，ring0层的穿越驱动通过解析iocode和它的buffer来确定删除的文件。国内杀毒软件的穿[......]
–天融信阿尔法实验室 CFF
Conficker蠕虫从08年爆发，后续衍生了A、B、C、D等多个变种；本以为早已经灭绝的东西，竟然在朋友的重要服务器中被发现，果真是百足之虫死而不僵，继续拿来练练手。
服务器上感染的是Conficker.B变种，其利用MS08-067漏洞进行传播，同时通过移动驱动器和网络共享进行传播。蠕虫使安全服务失效，阻止访问与安全相关的网站。病毒利用访问控制列表锁住被感染机器上的病毒文件，防止病毒文件被删除。并且在特定时间之后会访问随机生成的网址，由于域名生成是精心构造的伪随机算法，可以部署相应的域名，来达到下载并执行程序。
这是@neteagle捕获的一个样本，好奇索要过来看看，简单分析了一下；这是一个带感染功能的后门程序。由于其传播名称eraseme_%d%d%d%d%d.exe，所以我们称之为Eraseme后门。这是我第一份分析报告，感谢hj大侠和段哥的指导。分析中如有不对的地方也望各位指出。
样本主要包含三个程序：
PE程序（PE0）：外壳程序，主要负责释放PE1
PE程序（PE1）：核心程序，负责感染、控制，使用UPX减小体积，释放SYS1
驱动程序（SYS1）：修改系统TCPIP并发最大连接数
[......]
By kernux TopSec α-lab
这个漏洞是今年5月份爆出来的，漏洞影响范围非常广。受影响的Linux系统可能被直接DOS，精心设计可以获取根权限。该漏洞主要产生于内核的 Futex系统调用。Futex是快速用户空间mutex的意思，它是glibc中的互斥量实现的基础。内核空间其实只是提供了很简单的futex接 口，futex函数定义在／liunx／futex.c中，漏洞利用了 futex_requeue，futex_lock_pi，futex_wait_requeue_pi三个函数存在的两个漏洞，通过巧妙的组合这三个系 统调用，攻击者可以造成futex变量有等待[......]
文/图 天融信阿尔法实验室 冷风
概述
从传统意义讲，当你在电脑中插入一张CD/DVD光盘，或者插入一个USB设备时，可以通过自动播放来运行一个包含恶意的文件，不过自动播放功能被关闭时，autorun.inf文件就无法自动执行你的文件了。然而通过TEENSY，你可以模拟出一个键盘和鼠标，当你插入这个定制的USB设备时，电脑会识别为一个键盘，利用设备中的微处理器，与存储空间，和编程进去的攻击代码，就可以向主机发送控制命令，从而完全控制主机，无论自动播放是否开启，都可以成功。
[......]
本统计期最显著的特点是恶意地址数量出现一次非常剧烈的上升。全部有效地址数量是2379个，其中海外有效地址数量是1506个，大陆有效地址数量是837个，全部有效地址较上周相比上升64%；这显示着遏制恶意地址的工作是复杂的、曲折的，难以一蹴而就，需要有打持久战的思想准备。参见下图：
对恶意地址走势的分析，个人认为还是会向下走，继续震荡。
本期最显著的特点是恶意地址数量的继续呈下降走势。全部有效地址数量是1447个，其中海外有效地址数量是942个，大陆有效地址数量是505个，全部有效地址较上周相比下降17.8%；恶意地址数量的继续呈下降走势。参见下图：
以下三个结论依然有效：
从这个情况来看，可以得出以下结论：