样本区一个敲竹杠病毒，毛豆下桌面任务栏消失

显示全部楼层 · 发表于 2013-10-11 09:30:40

本帖最后由 wyy517523 于 2013-10-11 20:22 编辑

本人在虚拟机里装了xp32位，里面只装了毛豆5.12版和sd影子系统，昨天测试样本区http://bbs.kafan.cn/thread-1638652-2-1.html这个帖子中的病毒，发现我无论怎么设置规则都被过，用毛豆默认的规则中，将所有程序改成全部阻止，结果不行，用老虎规则也不行，然后自己设置关掉云，开疯狂模式，关掉sandbox，所有弹窗一律阻止，还是不行。
下面是规则设置和运行后截图
修改一下上面所说的，毛豆规则严厉的话，点击拦截net.exe执行后，虽然桌面图标和任务栏消失，但重启后开机密码未被修改，所以不算被过

显示全部楼层 · 发表于 2013-10-11 10:09:48

早就該換 6.3

comodo有修正一些東西

显示全部楼层 · 发表于 2013-10-11 10:19:18

我的是cis6.3，下载就报毒。怎么说被过了呢？

显示全部楼层 · 发表于 2013-10-11 11:12:15

我觉得安全防护是一个整体，既然杀毒能杀，那么主防被过也没什么，不能指望主防或者hips百毒不侵

显示全部楼层 · 发表于 2013-10-11 11:26:01

应该过不了6.3吧

显示全部楼层 · 发表于 2013-10-11 11:41:59

con16 发表于 2013-10-11 10:09
早就該換 6.3

comodo有修正一些東西

修正了啥？

显示全部楼层 · 发表于 2013-10-11 11:43:17

本帖最后由 wyy517523 于 2013-10-11 11:46 编辑

dengcc 发表于 2013-10-11 10:19
我的是cis6.3，下载就报毒。怎么说被过了呢？

额，我承认标题不完整，不过帖子里有说明版本是5.12。另外我没装杀毒，只装了防火墙和d+

显示全部楼层 · 发表于 2013-10-11 11:45:12

哥舒夜带刀发表于 2013-10-11 11:12
我觉得安全防护是一个整体，既然杀毒能杀，那么主防被过也没什么，不能指望主防或者hips百毒不侵

我实机中装了comodo，红伞和sanbox，我也是怕毛豆防不住

显示全部楼层 · 发表于 2013-10-11 14:46:58

将无法识别的文件勾上，选择阻止

显示全部楼层 · 发表于 2013-10-11 16:37:56

规则制定不严谨不要随意的实机试毒

刚才看到该帖，特装了毛豆512 XP 用自己的规则试了试，一连放行2步都运行不起来。。。

显示全部楼层 · 发表于 2013-10-11 17:27:26

本帖最后由 wyy517523 于 2013-10-11 17:47 编辑

巴山冷箭发表于 2013-10-11 16:37
规则制定不严谨不要随意的实机试毒

刚才看到该帖，特装了毛豆512 XP 用自己的规则试了试，一连放行2步 ...

额，帖子里有说明，是在虚拟机里，另外，我用的默认规则，只是把最后的全局那个全部选阻止，开的疯狂模式，关了云端，关了沙盒，而从上往下匹配，只能匹配全局规则，按理来说未知程序只能匹配最后的那个全局规则。能上传规则么？学习学习！

显示全部楼层 · 发表于 2013-10-11 17:38:45

其实毛豆就是一款辅助的手动的分析工具。看你怎么玩了！没有绝对完美的东西。我从来不预制定什么规则，我只把自己电脑用的软件都给设置好就行了，因为我不准备制定什么大众规则，如果有完美大众规则毛豆的工程师早发布了、他们比谁都有资格制作规则！

显示全部楼层 · 发表于 2013-10-11 17:48:19

中华发表于 2013-10-11 17:38
其实毛豆就是一款辅助的手动的分析工具。看你怎么玩了！没有绝对完美的东西。我从来不预制定什么规则，我只 ...

呵呵，有道理!

显示全部楼层 · 发表于 2013-10-11 18:25:24

毛豆在protective Security保护模式下貌似有拦截提示，不敢放行啊！

显示全部楼层 · 发表于 2013-10-11 18:32:47

随便说一下，我的comodo是5.4的。

显示全部楼层 · 发表于 2013-10-11 19:21:23

momu2013 发表于 2013-10-11 18:25
毛豆在protective Security保护模式下貌似有拦截提示，不敢放行啊！

这个放不放行不是重点，因为只要你在桌面或其他地方双击启动任何程序，不管是正常程序还是病毒，都是由explorer.exe执行的。当然，taskmgr.exe也可以执行某个程序，那是另外一回事

显示全部楼层 · 发表于 2013-10-11 21:06:29

momu2013 发表于 2013-10-11 18:25
毛豆在protective Security保护模式下貌似有拦截提示，不敢放行啊！

弱弱的问一句这是5.12的版本

显示全部楼层 · 发表于 2013-10-11 22:43:19

直接进6.3沙盘。。。

显示全部楼层 · 发表于 2013-10-11 22:52:09

本帖最后由 adair 于 2013-10-11 23:00 编辑

试试添加通配符*到受保护的COM、受保护的注册表、受保护的文件/目录，然后受保护的COM在排除项中只允许\ThemeApiPort, 受保护的文件/目录只允许\Device\KsecDD，看看运行后会有些什么东东。
另外hook项允许 C:\WINDOWS\system32\uxtheme.dll
不要用在全局规则中试，可以制定一个目录规则例如C:\test\* 来做测试。

显示全部楼层 · 发表于 2013-10-11 23:18:52

adair 发表于 2013-10-11 22:52
试试添加通配符*到受保护的COM、受保护的注册表、受保护的文件/目录，然后受保护的COM在排除项中只允许\The ...

日期应用程序行为目标
2013-10-11 23:14:15 D:\病毒样本\密码\QQ免费领取8钻一会员.exe 安装钩子 C:\WINDOWS\system32\MSCTF.dll
2013-10-11 23:14:15 D:\病毒样本\密码\QQ免费领取8钻一会员.exe 创建进程 C:\WINDOWS\system32\net.exe

2013-10-11 23:14:43 D:\病毒样本\密码\QQ免费领取8钻一会员.exe 创建进程 C:\WINDOWS\system32\net.exe
2013-10-11 23:14:43 D:\病毒样本\密码\QQ免费领取8钻一会员.exe 安装钩子 C:\WINDOWS\system32\MSCTF.dll
2013-10-11 23:14:53 D:\病毒样本\密码\QQ免费领取8钻一会员.exe 安装钩子 C:\WINDOWS\system32\MSCTF.dll
2013-10-11 23:14:53 D:\病毒样本\密码\QQ免费领取8钻一会员.exe 访问内存 C:\WINDOWS\System32\CTFMON.EXE

报告结束

[讨论] 样本区一个敲竹杠病毒，毛豆下桌面任务栏消失

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源