样本区的一个毒

swordfeng

http://bbs.kafan.cn/thread-1065452-1-1.html
大家看看 防得住不 不知道怎么访问了notepad的内存的 我的COMODO竟然没日志

mxf147

C:\WINDOWS\explorer.exe         修改注册表项         HKUS\S-1-5-21-776561741-2049760794-1801674531-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\Documents and Settings\Administrator\桌面\Virus\PlugIn\PlugIn.exe
C:\Documents and Settings\Administrator\桌面\Virus\PlugIn\PlugIn.exe         修改文件         \Device\KsecDD
C:\Documents and Settings\Administrator\桌面\Virus\PlugIn\PlugIn.exe         修改文件         \Device\NamedPipe\lsarpc
C:\Documents and Settings\Administrator\桌面\Virus\PlugIn\PlugIn.exe         修改注册表项         HKUS\S-1-5-21-776561741-2049760794-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C\BaseClass
C:\Documents and Settings\Administrator\桌面\Virus\PlugIn\PlugIn.exe         创建进程         C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrator\桌面\Virus\PlugIn\PlugIn.exe         创建进程         C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\notepad.exe         修改文件         C:\Documents and Settings\Administrator\Application Data\AppLan\AppLan.exe
C:\WINDOWS\system32\notepad.exe         修改注册表项         HKUS\S-1-5-21-776561741-2049760794-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Run\AppLan
C:\Documents and Settings\Administrator\桌面\Virus\PlugIn\PlugIn.exe         创建进程         C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\notepad.exe         修改文件         \Device\NamedPipe\lsarpc
C:\WINDOWS\system32\notepad.exe         修改注册表项         HKUS\S-1-5-21-776561741-2049760794-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C\BaseClass
C:\WINDOWS\system32\notepad.exe         修改文件         C:\Documents and Settings\Administrator\Application Data\AppLan\AppLan.exe

秦王扫六合

没敢试
貌似中文系统没法发作
我的规则完全控制了记事本应该也不怕，给记事本的权限低低的

微点卫士

行为的启发分析？

darkwolf_99

没有“访问了notepad的内存”，只有样本启动notepad

a256886572008

1.
comodo 運作機制，和別家  傳統HIPS 不同，因為有"繼承規則"，所以，允許 父進程 控制 子進程。

2.
樓主已經實機測過了，可防住。

a256886572008

秦王扫六合 发表于 2011-8-26 20:26
没敢试
貌似中文系统没法发作
我的规则完全控制了记事本应该也不怕，给记事本的权限低低的

1.
要裝 .net framework

2.
我給 記事本  完全信任，照樣能攔截

秦王扫六合

a256886572008 发表于 2011-8-27 10:50
1.
要裝 .net framework

.net 是Windows7自带的 可能不全

记事本给那没高的权限？注册表不全改了？

a256886572008

秦王扫六合 发表于 2011-8-27 10:56
.net 是Windows7自带的 可能不全

记事本给那没高的权限？注册表不全改了？

comodo 有繼承規則，就算給 notepad.exe最高權限，還是能繼承 父進程 的規則。

看樓主給的鏈接，成功攔截 notepad.exe 作壞事。

bluelaser

秦王扫六合 发表于 2011-8-27 10:56
.net 是Windows7自带的 可能不全

记事本给那没高的权限？注册表不全改了？

开机启动项的注册表和底层一些注册表我的规则里都是全局询问，一般低权限的程序都是阻止的。