comodo怎么防御最近流行的数字签名+病毒dll组合？

显示全部楼层 · 发表于 2012-3-1 17:14:20

我没用comodo，就想了解下大名鼎鼎的comodo怎么防御。
删除内置信任数字签名文件，取消云，强制如沙？还是其他
有谁测试过么？防御效果怎么样？有没有漏掉行为？这样设置后的缺点是什么？

显示全部楼层 · 发表于 2012-3-1 18:03:45

怎么我没感觉到有多流行？

显示全部楼层 · 发表于 2012-3-1 18:23:48

用早期英文版的comodo，关闭D+，搭上DW，万事大吉！

显示全部楼层 · 发表于 2012-3-1 19:39:07

没人测试过么？本版知名的规则防御效果怎么样？

显示全部楼层 · 发表于 2012-3-1 20:01:59

。。。。随意一个规则都可以防御。
这是针对智能主防的小儿科。

显示全部楼层 · 发表于 2012-3-1 20:05:17

sanhu35 发表于 2012-3-1 20:01
。。。。随意一个规则都可以防御。
这是针对智能主防的小儿科。

哦？有图日志么？看看怎么设置，拦截到哪些动作了

显示全部楼层 · 发表于 2012-3-1 20:06:59

yhjtj 发表于 2012-3-1 20:05
哦？有图日志么？看看怎么设置，拦截到哪些动作了

http://bbs.kafan.cn/forum.php?mo ... ;page=2#pid23477438

显示全部楼层 · 发表于 2012-3-1 20:09:49

yhjtj 发表于 2012-3-1 20:05
哦？有图日志么？看看怎么设置，拦截到哪些动作了

不是这个

显示全部楼层 · 发表于 2012-3-1 20:11:45

本帖最后由 sanhu35 于 2012-3-1 20:12 编辑

yhjtj 发表于 2012-3-1 20:05
哦？有图日志么？看看怎么设置，拦截到哪些动作了

http://bbs.kafan.cn/forum.php?mo ... ;page=3#pid23508869

本帖最后由 sanhu35 于 2012-2-28 23:09 编辑

不入组行为：

2012/2/28 22:52:29 创建新进程允许
进程: c:\windows\explorer.exe
目标: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
命令行: "C:\Users\sanhu35\Desktop\BAOFENGUPDATES\bfUpdate.exe"
规则: [应用程序]c:\windows\explorer.exe

2012/2/28 22:52:29 创建文件夹阻止
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\系统升级
规则: [文件组]只读磁盘 -> [文件]c:\*

2012/2/28 22:52:30 创建文件阻止
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: C:\Windows\system32\billlog.dat
规则: [文件组]只读磁盘 -> [文件]c:\*

2012/2/28 22:52:30 结束其他进程阻止并结束进程
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: c:\windows\explorer.exe
规则: [应用程序]* -> [目标应用程序]进程保护

========================

入病毒测试组

2012/2/28 22:57:23 创建新进程允许进程: c:\windows\explorer.exe
目标: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
命令行: "C:\Users\sanhu35\Desktop\BAOFENGUPDATES\bfUpdate.exe"
规则: [应用程序]c:\windows\explorer.exe

2012/2/28 22:57:23 加载动态链接库允许
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: c:\users\sanhu35\desktop\baofengupdates\update.dll
规则: [应用程序组]『询问』病毒测试 -> [动态链接库].\*

2012/2/28 22:57:46 创建文件夹允许
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\系统升级
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/2/28 22:58:03 创建文件允许
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: C:\Windows\system32\billlog.dat
规则: [应用程序组]『询问』病毒测试 -> [文件]*

2012/2/28 22:58:14 结束其他进程阻止
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]『询问』病毒测试

2012/2/28 22:58:23 访问网络允许
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: TCP [本机 : 52271] -> [127.0.0.1 : 1110 (nfsd-status)]
规则: [应用程序组]『询问』病毒测试 -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012/2/28 22:58:35 创建新进程允许
进程: c:\users\sanhu35\desktop\baofengupdates\bfupdate.exe
目标: c:\windows\system32\userinit.exe
命令行: Userinit.exe
规则: [应用程序组]『询问』病毒测试

显示全部楼层 · 发表于 2012-3-1 20:26:36

sanhu35 发表于 2012-3-1 20:11
http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1231785&page=3#pid23508869

朋友，你这是comodo的日志？我看是md的啊

显示全部楼层 · 发表于 2012-3-1 20:41:37

yhjtj 发表于 2012-3-1 20:26
朋友，你这是comodo的日志？我看是md的啊

毛豆也是一样的

显示全部楼层 · 发表于 2012-3-1 21:35:58

sanhu35 发表于 2012-3-1 20:41
毛豆也是一样的

软件不同，规则不同，怎么会一样的呢？

显示全部楼层 · 发表于 2012-3-1 21:42:38

yhjtj 发表于 2012-3-1 21:35
软件不同，规则不同，怎么会一样的呢？

病毒攻击的原理一样，主要用HIPS防住要害行为嘛

显示全部楼层 · 发表于 2012-3-1 21:58:50

记得看过调用dll时的弹窗

显示全部楼层 · 发表于 2012-3-1 22:07:27

fovfinal 发表于 2012-3-1 21:42
病毒攻击的原理一样，主要用HIPS防住要害行为嘛

这么说你用comodo防住了，分享下拦截日志吧，规则设置不保密也分享下

显示全部楼层 · 发表于 2012-3-1 22:09:57

yhjtj 发表于 2012-3-1 22:07
这么说你用comodo防住了，分享下拦截日志吧，规则设置不保密也分享下

我自己木有试过

，我是看了他的帖子，防御不是成功了嘛

显示全部楼层 · 发表于 2012-3-1 22:15:59

fovfinal 发表于 2012-3-1 22:09
我自己木有试过，我是看了他的帖子，防御不是成功了嘛

那是md的日志，非毛豆

显示全部楼层 · 发表于 2012-3-1 22:17:21

yhjtj 发表于 2012-3-1 22:15
那是md的日志，非毛豆

有些东西可以套用嘛

显示全部楼层 · 发表于 2012-3-1 22:21:11

fovfinal 发表于 2012-3-1 22:17
有些东西可以套用嘛

毛豆会自动信任自有列表中数字签名程序，就算在自有列表中删除了暴风影音的这项，还是会自动信任，md则不会管什么数字签名，你说怎么套用呢？

显示全部楼层 · 发表于 2012-3-1 22:24:16

生成文件的位置对外封锁，禁运？

[讨论] comodo怎么防御最近流行的数字签名+病毒dll组合？