完美穿破 comodo 5.8 RC2

显示全部楼层 · 发表于 2011-10-1 16:33:46

本帖最后由 a256886572008 于 2011-10-2 13:04 编辑

1.關閉殺毒和雲，實機雙擊運行，完全沒反應。

2.打開 autoruns 查看，被寫註冊表了

3.推理一下被穿破的可能原因：
下面這個功能壞掉

4.樣本地址：
hxxp://dc313.4shared.com/download/ERlucoVu/IMG_27092011_141340_JPG.cpl

显示全部楼层 · 发表于 2011-10-1 16:44:13

楼主辛苦。
表示自己已经汗颜了

显示全部楼层 · 发表于 2011-10-1 16:52:01

なに

显示全部楼层 · 发表于 2011-10-1 17:01:25

那个选项应该是和规则有关吧，与沙箱无关

显示全部楼层 · 发表于 2011-10-1 17:10:43

Shinyjp 发表于 2011-10-1 17:01
那个选项应该是和规则有关吧，与沙箱无关

你實機雙擊運行病毒，就會知道我為何會那樣說了

显示全部楼层 · 发表于 2011-10-1 17:12:00

貌似是Shell32.dll文件控制的不严格

显示全部楼层 · 发表于 2011-10-1 17:14:30

mxf147 发表于 2011-10-1 17:12
貌似是Shell32.dll文件控制的不严格

comodo 因為有命令行檢測，本來該把 shell32.dll 視為 IMG_27092011_141340_JPG[1].cpl

但是卻沒有，導致被騙

显示全部楼层 · 发表于 2011-10-1 17:16:37

a256886572008 发表于 2011-10-1 17:10
你實機雙擊運行病毒，就會知道我為何會那樣說了

我没那种胆量……毕竟不走规则了

显示全部楼层 · 发表于 2011-10-1 17:17:24

a256886572008 发表于 2011-10-1 17:14
comodo 因為有命令行檢測，本來該把 shell32.dll 視為 IMG_27092011_141340_JPG[1].cpl

但是卻沒有，導 ...

把那个选项去了呢？还能不能过

显示全部楼层 · 发表于 2011-10-1 17:20:02

Shinyjp 发表于 2011-10-1 17:17
把那个选项去了呢？还能不能过

勾那選項，本來就是為了安全。

可能這一版，剛好壞掉了，不起作用。

显示全部楼层 · 发表于 2011-10-1 17:22:42

本帖最后由 Shinyjp 于 2011-10-1 17:23 编辑

a256886572008 发表于 2011-10-1 17:20
勾那選項，本來就是為了安全。

可能這一版，剛好壞掉了，不起作用。

那对于规则起不起作用，我才更新到40%，网速苦逼啊

显示全部楼层 · 发表于 2011-10-1 17:29:59

纯手动如何？非禁运

如果只是穿毛豆的沙盘，lz就不要每次“标题党”了

显示全部楼层 · 发表于 2011-10-1 17:32:46

Shinyjp 发表于 2011-10-1 17:22
那对于规则起不起作用，我才更新到40%，网速苦逼啊

這要等官方檢查了，下一版又要出了

显示全部楼层 · 发表于 2011-10-1 17:36:16

上报吧

显示全部楼层 · 发表于 2011-10-1 17:36:45

浏览此贴会报毒！小心！

显示全部楼层 · 发表于 2011-10-1 17:36:49

日志

2011-10-01 17:32:24   C:\WINDOWS\explorer.exe   创建进程   C:\WINDOWS\system32\shell32.dll
2011-10-01 17:32:35   C:\WINDOWS\system32\shell32.dll   修改注册表项   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\EnableLUA
2011-10-01 17:32:35   C:\WINDOWS\system32\shell32.dll   拦截文件   C:\WINDOWS\system32\sc.exe
2011-10-01 17:32:40   C:\WINDOWS\system32\shell32.dll   修改注册表项   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
2011-10-01 17:32:40   C:\WINDOWS\system32\shell32.dll   修改文件   C:\ProgramData\IMG_27092011_141340_JPG.cpl
2011-10-01 17:32:40   C:\WINDOWS\system32\shell32.dll   修改注册表项   HKUS\S-1-5-21-823518204-1202660629-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Run\File

显示全部楼层 · 发表于 2011-10-1 17:40:51

看16楼日志，我也勾选了那一项

显示全部楼层 · 发表于 2011-10-1 17:41:34

mxf147 发表于 2011-10-1 17:36
日志

看來那個選項，是真的壞掉了。

連手動 HIPS，都無法把 .cpl 當進程名稱。

显示全部楼层 · 发表于 2011-10-1 17:42:48

a256886572008 发表于 2011-10-1 17:41
看來那個選項，是真的壞掉了。

連手動 HIPS，都無法把 .cpl 當進程名稱。

感觉上应该是“Partially Limited ”的原因

显示全部楼层 · 发表于 2011-10-1 17:44:58

mxf147 发表于 2011-10-1 17:40
看16楼日志，我也勾选了那一项

那个网页无法打开- -！···能否上传个···

[BUG] 完美穿破 comodo 5.8 RC2

评分

本帖子中包含更多资源