穿破 comodo v5.10 (.hta 文件)

老虎猫

柯林 发表于 2012-6-3 21:10
是否沙盘漏了，还真不好说，分别在CPS和CIS测试过——如果直接下样本hta到本地运行，确实被沙盘隔离；如果 ...

IE访问Svchost.exe的com接口 。还有一条，系统进程直接消息上保护，不考虑COM  也很轻松！

a256886572008

柯林 发表于 2012-6-3 21:10
是否沙盘漏了，还真不好说，分别在CPS和CIS测试过——如果直接下样本hta到本地运行，确实被沙盘隔离；如果 ...

那個 svchost.exe 執行mshta.exe 時的命令行，沒有 註明.hta文件，是 comodo 最大的致命傷。

沒註明，就無法把那個 mshta.exe 給入沙。

tgcn

老虎猫 发表于 2012-6-3 21:20
都svchost.exe 创建mshta.exe    感觉有点晚了。

防住就行，哈哈，咱不挑

Dannywen

ssp成功拦截.

a256886572008

zilch 发表于 2012-6-3 21:21
我的MD+ESS4.2防火墙交互模式没有任何反应。居然能够直接看。

你中鏢了哦！

這個沒有任何 有毒的exe 在運行，全部都是系統進程。

Dannywen

a256886572008 发表于 2012-6-3 21:30
你中鏢了哦！

這個沒有任何 有毒的exe 在運行，全部都是系統進程。

我这里只拦截到了修改注册表启动项，没有其他动作了吗?

zilch

a256886572008 发表于 2012-6-3 21:30
你中鏢了哦！

這個沒有任何 有毒的exe 在運行，全部都是系統進程。

我目前没有发现有什么不正常的。用MD的进程管理器也没有看到异常的。

a256886572008

有些人用 多餘的規則來限制安全程序，結果重點就這一步而已。

第1個

2012-06-03 21:38:48   C:\WINDOWS\system32\mshta.exe   Modify Key   HKUS\S-1-5-21-448539723-261903793-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Run\opposf Passace  

第2個

2012-06-03 19:59:22   C:\WINDOWS\system32\mshta.exe   Modify Key   HKUS\S-1-5-21-448539723-261903793-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Run\www.adult-collection09.net

↑↑↑↑↑ 攔截了，會被第1個阻止看片，第2個不會。

柯林

a256886572008 发表于 2012-6-3 21:25
那個 svchost.exe 執行mshta.exe 時的命令行，沒有 註明.hta文件，是 comodo 最大的致命傷。

沒註明， ...

确实瞎了，好大一个hta居然看不见：

柯林

老虎猫 发表于 2012-6-3 21:25
IE访问Svchost.exe的com接口 。还有一条，系统进程直接消息上保护，不考虑COM  也很轻松！

没用，加了脚本接口，并且设定IE禁止访问所有com，依然下载该文件运行。