修改配置，讓 comodo firewall 能夠攔截 QQPass 木馬

显示全部楼层 · 发表于 2011-10-21 22:59:16

本帖最后由 a256886572008 于 2011-10-22 00:04 编辑

1.勾選部份限制。

2.取消打勾防火牆的自動允許。

3.測試病毒

(1) 輸入密碼，實際上是在木馬的透明框上輸入。

(2)病毒執行 IE，開始傳送帳號密碼。

(3) COMODO 攔截，有特別標示 sandbox內進程想調用。

攔截成功

显示全部楼层 · 发表于 2011-10-21 23:08:39

2011-10-21 23:04:08   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   修改文件   \Device\KsecDD
2011-10-21 23:04:13   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   修改文件   C:\Documents and Settings\Administrator\桌面\test\2011.jpg
2011-10-21 23:04:16   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   创建进程   C:\WINDOWS\system32\taskkill.exe
2011-10-21 23:04:18   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   修改文件   \Device\NamedPipe\wkssvc
2011-10-21 23:04:22   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   修改注册表项   HKUS\S-1-5-21-823518204-1202660629-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
2011-10-21 23:04:22   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   创建进程   C:\WINDOWS\system32\shimgvw.dll
2011-10-21 23:04:30   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   修改文件   \Device\NamedPipe\lsarpc
2011-10-21 23:04:30   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   修改注册表项   HKUS\S-1-5-21-823518204-1202660629-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C\BaseClass
2011-10-21 23:04:47   C:\Documents and Settings\Administrator\桌面\test\我的相片.exe   创建进程   C:\WINDOWS\system32\rundll32.exe

显示全部楼层 · 发表于 2011-10-21 23:09:12

本帖最后由紫涵于 2011-10-21 23:11 编辑

这个不就是那个穿360和金山的那个QQ木马吗？我开的低权限模式，他只创健了一个JPG图片。

显示全部楼层 · 发表于 2011-10-21 23:10:11

mxf147 发表于 2011-10-21 23:08

重點就只有防火牆那一步

显示全部楼层 · 发表于 2011-10-21 23:12:20

能不能上老版本中文版的操作，我还得改语言才能弄这个，改完语言发现你的是新版，我是旧版

显示全部楼层 · 发表于 2011-10-21 23:14:07

本帖最后由紫涵于 2011-10-21 23:16 编辑

sevenday 发表于 2011-10-21 23:12
能不能上老版本中文版的操作，我还得改语言才能弄这个，改完语言发现你的是新版，我是旧版

他的意思是打开沙盘的部份限制，然后防火墙旧版没有自动允许的，不用理。

显示全部楼层 · 发表于 2011-10-21 23:18:44

本帖最后由 sevenday 于 2011-10-21 23:19 编辑

紫涵发表于 2011-10-21 23:14
他的意思是打开沙盘的部份限制，然后防火墙旧版没有自动允许的，不用理。

我是5.3，和新版那里有区别？那个自动允许在哪？我连你这个允许的框框都没有。。。

显示全部楼层 · 发表于 2011-10-21 23:19:51

sevenday 发表于 2011-10-21 23:18
我是5.3，和新版那里有区别？那个自动允许在哪？

5.3的防火墙没有自动允许，所以不用理，你打开沙盘就行了。

显示全部楼层 · 发表于 2011-10-21 23:20:20

如果禁用沙盘，是不是就无法拦截了？

显示全部楼层 · 发表于 2011-10-21 23:20:32

紫涵发表于 2011-10-21 23:19
5.3的防火墙没有自动允许，所以不用理，你打开沙盘就行了。

沙盘有360卫士那个的，同时开不是会冲突么

[行为分析] 修改配置，讓 comodo firewall 能夠攔截 QQPass 木馬

本帖子中包含更多资源

评分

本帖子中包含更多资源