难得一见的Sophos HIPS发威

显示全部楼层 · 发表于 2012-5-14 08:48:49

本帖最后由 firefox3 于 2012-5-14 18:21 编辑

样本地址：http://bbs.kafan.cn/forum.php?mo ... 6&highlight=cpl

这个样本居然把comodo搞崩溃，还好Sophos的HIPS拦截！

20120514 004223 进程 "C:\Users\A\AppData\Local\Temp\80320120325.cpl" 显示可疑行为，类型：'HIPS/RegMod-014'。
访问被拒绝。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。

MD测试：

2012/5/14 08:49:40 c:\windows\system32\rundll32.exe 创建注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} 阻止 [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\Currentversion\Explorer\Browser helper objects*
2012/5/14 08:49:40 c:\windows\system32\rundll32.exe 创建注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} 阻止 [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\Currentversion\Explorer\Browser helper objects*
2012/5/14 08:49:40 c:\windows\system32\rundll32.exe 创建注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A3BC75A2-1F87-4686-AA43-5347D756017C} 阻止 [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\Currentversion\Explorer\Browser helper objects*
2012/5/14 08:49:40 c:\windows\system32\rundll32.exe 创建注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{A3BC75A2-1F87-4686-AA43-5347D756017C} 阻止 [注册表组]自动运行 -> [注册表]*\Software\Microsoft\Windows\Currentversion\Explorer\Browser helper objects*
2012/5/14 08:49:40 c:\windows\system32\rundll32.exe 创建注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CCC7A320-B3CA-4199-B1A6-9F516DD69829}\InprocServer32 阻止 [注册表组]重要设置 -> [注册表]*\SOFTWARE\Classes\CLSID\*
2012/5/14 08:49:59 c:\windows\system32\rundll32.exe 修改文件 (6) C:\Users\A\AppData\Local\Temp\80320120325.cpl 阻止 [应用程序]c:\windows\system32\rundll32.exe -> [文件组]全局高危文件
2012/5/14 08:50:05 c:\windows\system32\rundll32.exe 创建文件 C:\Users\A\AppData\Local\Temp\adobe-flash-player.bat 阻止 [应用程序]c:\windows\system32\rundll32.exe -> [文件组]全局高危文件

再来一个误报的
20120514 100123 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100125 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100150 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100151 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100237 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100238 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100311 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100312 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100350 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100351 进程 "E:\Games\C&C3\retailexe\1.9\cnc3game.dat" 显示可疑行为，类型：'HIPS/ProcInj-001'。
进程被中止。
如果您不确定是否应该批准应用程序，请寄送一份样本给 Sophos。
20120514 100721 已批准可疑进程 "cnc3game.dat"。

显示全部楼层 · 发表于 2012-5-14 08:57:40

看来我还得装个HIPS。

显示全部楼层 · 发表于 2012-5-14 08:58:10

过了FS。

显示全部楼层 · 发表于 2012-5-14 09:02:04

wxper 发表于 2012-5-14 08:57
看来我还得装个HIPS。

http://bbs.kafan.cn/forum.php?mo ... 9&highlight=cpl

这样的样本挺多的

显示全部楼层 · 发表于 2012-5-14 09:02:21

yusup 发表于 2012-5-14 08:58
过了FS。

试试这个 http://bbs.kafan.cn/forum.php?mo ... 9&highlight=cpl

显示全部楼层 · 发表于 2012-5-14 09:13:40

厉害啊，试试

显示全部楼层 · 发表于 2012-5-14 15:30:28

貌似挺NB，居然看不懂。

显示全部楼层 · 发表于 2012-5-14 15:50:52

sophos的hips对于动作比较明显的样本拦截还是不错的

显示全部楼层 · 发表于 2012-5-14 15:52:22

pansonic 发表于 2012-5-14 15:30
貌似挺NB，居然看不懂。

看md的注册表拦截，应该是一样的拦截行为

显示全部楼层 · 发表于 2012-5-14 15:53:26

bbs2811125 发表于 2012-5-14 15:50
sophos的hips对于动作比较明显的样本拦截还是不错的

可能是针对ie的基本保护吧

[其他相关] 难得一见的Sophos HIPS发威