穿破 comodo 5.8 RC2 的樣本(所有殺軟可殺，掃描黨免進)

显示全部楼层 · 发表于 2011-10-1 23:43:26

h8888 发表于 2011-10-1 23:41
COMODO V5.5的测试情况，应该不能穿破规则。如图。

你先開 safe mode，再測試吧

显示全部楼层 · 发表于 2011-10-1 23:46:10

本帖最后由 hx1997 于 2011-10-1 23:46 编辑

OA 显示的不是 rundll32.exe？

显示全部楼层 · 发表于 2011-10-1 23:46:13

hx1997 发表于 2011-10-1 23:41
我是cpl右键-以不信任方式运行。

你要不要試試， .cpl 文件加入不信任，然後雙擊運行。

看看命令行檢測是否正確

显示全部楼层 · 发表于 2011-10-1 23:49:28

hx1997 发表于 2011-10-1 23:46
OA 显示的不是 rundll32.exe？

OA 最上面那個，是 target。

parent process 在下面，是 rundll32.exe 沒錯

显示全部楼层 · 发表于 2011-10-1 23:52:30

a256886572008 发表于 2011-10-1 23:49
OA 最上面那個，是 target。

parent process 在下面，是 rundll32.exe 沒錯

呃还真是...

提示挺直观的。

显示全部楼层 · 发表于 2011-10-1 23:53:24

a256886572008 发表于 2011-10-1 23:46
你要不要試試， .cpl 文件加入不信任，然後雙擊運行。

看看命令行檢測是否正確

试了下，有点奇怪。

日志里没有显示非信任进程运行，任务管理器发现rundll32.exe运行，可是该添加注册表的地方却没被添加。

显示全部楼层 · 发表于 2011-10-1 23:56:19

本帖最后由 a256886572008 于 2011-10-1 23:58 编辑

hx1997 发表于 2011-10-1 23:53
试了下，有点奇怪。

日志里没有显示非信任进程运行，任务管理器发现rundll32.exe运行，可是该添加注册 ...

註冊表，用 XT 才看得到

--------------
主要是，那個 rundll32.exe 如果在 DW 自己的進程查看器，發現不在沙盤內，就代表穿破。

显示全部楼层 · 发表于 2011-10-1 23:59:04

a256886572008 发表于 2011-10-1 23:56
註冊表，用 XT 才看得到

--------------

XT 看过了，木有。

显示全部楼层 · 发表于 2011-10-2 00:02:22

TF 可以防御。

显示全部楼层 · 发表于 2011-10-2 00:04:59

hx1997 发表于 2011-10-2 00:02
TF 可以防御。

等級3，就能報微軟進程，真奇怪？

[病毒样本] 穿破 comodo 5.8 RC2 的樣本(所有殺軟可殺，掃描黨免進)