谁能帮忙用毛豆测试一下这个样本？沙盘 hips 沙盘+hips均可

墨家小子

样本下载地址：http://bbs.kafan.cn/thread-1713321-1-1.html

沙盘日志贴出来看看

大力摇晃双臂 召唤@qftest

a256886572008

X64下的結果。

2014-04-18 19:29:11         C:\virus\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe         Sandboxed As         Partially Limited

2014-04-18 19:29:13         C:\Users\Roger\AppData\Roaming\khls.exe         Sandboxed As         Partially Limited

2014-04-18 19:29:16         C:\Users\Roger\AppData\Roaming\khls.exe         Modify Key         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters

2014-04-18 19:29:16         C:\virus\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe         Access COM Interface         C:\Windows\System32\svchost.exe

scheduled tasks 我記得comodo 是用 FD攔截。

\Device\NamedPipe\atsvc

這一條

qftest

摇晃得我头都要晕啦

Defense+ 事件

2014-04-18 21:57:40   C:\Windows\explorer.exe   创建进程   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   
2014-04-18 21:57:45   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   修改文件   C:\Users\Kafan\AppData\Roaming\cwf.exe   
2014-04-18 21:57:55   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   访问COM接口   C:\Windows\System32\svchost.exe
2014-04-18 21:58:01   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   直接键盘访问   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   
2014-04-18 21:58:25   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   创建进程   C:\Users\Kafan\AppData\Roaming\cwf.exe   
2014-04-18 21:58:34   C:\Users\Kafan\AppData\Roaming\cwf.exe   修改文件   \Device\Nsi   
2014-04-18 21:58:38   C:\Users\Kafan\AppData\Roaming\cwf.exe   访问COM接口   C:\Windows\System32\svchost.exe
2014-04-18 21:58:44   C:\Users\Kafan\AppData\Roaming\cwf.exe   修改文件   \Device\Afd\Endpoint   
2014-04-18 21:58:50   C:\Users\Kafan\AppData\Roaming\cwf.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections   
2014-04-18 21:59:01   C:\Users\Kafan\AppData\Roaming\cwf.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable   
2014-04-18 21:59:05   C:\Users\Kafan\AppData\Roaming\cwf.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer   
2014-04-18 21:59:07   C:\Users\Kafan\AppData\Roaming\cwf.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride   
2014-04-18 21:59:08   C:\Users\Kafan\AppData\Roaming\cwf.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings   

报告结束

以上是5.12 默认CPS规则疯狂模式的日志


由日志可见，若不拦截访问COM的话，默认规则+疯狂模式拦不了该样本添加计划任务的动作
目测是由于在默认规则中svchost.exe被应用了“windows系统应用程序”权限
将svchost.exe从windows应用程序规则中剔除才能拦截
拦截后显示样本添加计划任务的动作为C:\Windows\System32\svchost.exe   修改文件   C:\windows\System32\Tasks\FlashDrv

以下是我的自定义规则拦截日志：

C:\Windows\explorer.exe   创建进程   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   修改文件   C:\Users\Kafan\AppData\Roaming\vle.exe   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   访问COM接口   C:\Windows\System32\svchost.exe   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   直接键盘访问   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   修改文件   C:\Users\Kafan\AppData\Roaming\togqy.exe   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   修改文件   C:\Users\Kafan\AppData\Roaming\togqy.exe:Zone.Identifier:$DATA   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   访问COM接口   C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe   修改文件   C:\windows\System32\Tasks\FlashDrv     
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   直接键盘访问   C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   修改文件   C:\Users\Kafan\AppData\Local\Microsoft\Windows\Explorer\iconcache_idx.db   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   修改文件   C:\Users\Kafan\AppData\Local\Microsoft\Windows\Explorer\iconcache_32.db   
C:\病毒样本\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe   创建进程   C:\Users\Kafan\AppData\Roaming\togqy.exe   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改注册表项   HKLM\System\CurrentControlSet\Services\Tcpip\Parameters   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改文件   \Device\Nsi   
C:\Users\Kafan\AppData\Roaming\togqy.exe   访问COM接口   C:\Windows\System32\svchost.exe   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改文件   \Device\Afd\Endpoint   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride   
C:\Users\Kafan\AppData\Roaming\togqy.exe   修改注册表项   HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings   
C:\Users\Kafan\AppData\Roaming\togqy.exe   创建进程   C:\Users\Kafan\AppData\Local\Temp\fdg2C3E.tmp.exe  

qftest

a256886572008 发表于 2014-4-18 19:39
X64下的結果。

\Device\NamedPipe\atsvc 对comodo拦截主楼样本添加计划任务的动作无效，不知是否我测试有误

墨家小子

a256886572008 发表于 2014-4-18 19:39
X64下的結果。

这一局，毛豆完胜OP、SSF

2014-04-18 19:29:16         C:\virus\0eeebe61d3afe816e7bfae4d071a7586\0eeebe61d3afe816e7bfae4d071a7586.exe         Access COM Interface         C:\Windows\System32\svchost.exe

kxmp

Thank you for this report. It has been forwarded to the developers department.

Kind regards,
Daniel

o了

墨家小子

kxmp 发表于 2014-5-26 22:50
o了

你提交给SSF官方了？

BBCALL

qftest 发表于 2014-4-18 22:33
摇晃得我头都要晕啦

Defense+ 事件

a256886572008是在正常防御下的测试
换句话说svchost.exe一样入沙，而无权修改文件   C:\windows\System32\Tasks\FlashDrv

给您参考
不过真是辛苦了

qftest

BBCALL 发表于 2014-6-3 00:11
a256886572008是在正常防御下的测试
换句话说svchost.exe一样入沙，而无权修改文件   C:\windows\System ...

是7版的还是5.12？记得当时我测的时侯好象5.12默认拦不住这个

智琛

qftest 发表于 2014-6-3 14:24
是7版的还是5.12？记得当时我测的时侯好象5.12默认拦不住这个

明显台湾兄弟一直推崇最新版。这次测的也一定是7喽