这算是VK被过吗？

显示全部楼层 · 发表于 2012-12-23 21:20:54

mxf147 发表于 2012-12-23 21:19
我是Win8 X64，很奇怪的东西

有个窗口报程序内存错误的没看清不知道是不是cmdvirth.exe被高废了还是explorer被消息攻击击垮了

显示全部楼层 · 发表于 2012-12-23 21:23:39

柯林发表于 2012-12-23 21:20
有个窗口报程序内存错误的没看清不知道是不是cmdvirth.exe被高废了还是explorer被消息攻击击垮了

是explorer被消息攻的崩溃了，我看到弹窗了

显示全部楼层 · 发表于 2012-12-23 21:26:11

mxf147 发表于 2012-12-23 21:23
是explorer被消息攻的崩溃了，我看到弹窗了

对于消息防护毛豆历来的版本都没有采用严厉措施印象中所有的HIPS产品对这个的处理都比较弱实际当中的病毒也少见大多为测试工具或玩笑程序

显示全部楼层 · 发表于 2012-12-23 21:32:27

柯林发表于 2012-12-23 21:26
对于消息防护毛豆历来的版本都没有采用严厉措施印象中所有的HIPS产品对这个的处理都比较弱实际当中的 ...

我已经拦截了所有的消息了，居然还能崩溃，拦截了关机动作，但是还是被锁定了，是因为explore崩溃导致的？

显示全部楼层 · 发表于 2012-12-23 21:41:58

mxf147 发表于 2012-12-23 21:32
我已经拦截了所有的消息了，居然还能崩溃，拦截了关机动作，但是还是被锁定了，是因为explore崩溃导致的？ ...

是不是利用了系统漏洞，还是专门针对v6的攻击，让技术流们逆下码看看。

换专门的沙盘测试下没问题的话，就是v6的问题。

显示全部楼层 · 发表于 2012-12-23 21:45:23

柯林发表于 2012-12-23 21:41
是不是利用了系统漏洞，还是专门针对v6的攻击，让技术流们逆下码看看。

换专门的沙盘测试下没问题的话 ...

看MD的测试貌似没这么多问题
http://bbs.kafan.cn/thread-1433613-1-1.html

显示全部楼层 · 发表于 2012-12-23 21:53:18

mxf147 发表于 2012-12-23 21:45
看MD的测试貌似没这么多问题
http://bbs.kafan.cn/thread-1433613-1-1.html

看来毛豆的消息拦截还是有问题（BB或VK吧）

显示全部楼层 · 发表于 2012-12-23 22:01:21

柯林发表于 2012-12-23 21:53
看来毛豆的消息拦截还是有问题（BB或VK吧）

可是我纯用HIPS规则拦截，也是一样呀

显示全部楼层 · 发表于 2012-12-23 22:04:45

mxf147 发表于 2012-12-23 22:01
可是我纯用HIPS规则拦截，也是一样呀

疯狂模式阻止，看下究竟有些啥动作？

显示全部楼层 · 发表于 2012-12-23 22:22:16

本帖最后由 darkwolf_99 于 2012-12-23 22:36 编辑

扬帆横起发表于 2012-12-23 20:34
这里不关hips的事，说的是VK和sandbox，程序实机自动入沙虚拟化，结果。。。

BB和hips规则当然有关系，而三种不同的配置文件，hips的规则不同

win7x64，最强默认规则，只有vk被结束，但v6阻止样本结束所有其它进程，包括explorer.exe；这之后，样本当然不可能使得系统被注销

2012-12-23 20:17:13 C:\VTRoot\HarddiskVolume1\Users\****\Desktop\regtest\regtest.exe Terminate Process C:\Program Files\COMODO\COMODO Internet Security\cis.exe

2012-12-23 20:17:13 C:\VTRoot\HarddiskVolume1\Users\****\Desktop\regtest\regtest.exe Send Message C:\Windows\explorer.exe

2012-12-23 20:17:13 C:\VTRoot\HarddiskVolume1\Users\****\Desktop\regtest\regtest.exe Terminate Process C:\Program Files\COMODO\COMODO Internet Security\cis.exe

2012-12-23 20:17:13 C:\VTRoot\HarddiskVolume1\Users\****\Desktop\regtest\regtest.exe Send Message C:\Windows\explorer.exe

2012-12-23 20:17:13 C:\VTRoot\HarddiskVolume1\Users\****\Desktop\regtest\regtest.exe Terminate Process C:\Windows\explorer.exe

附个SBie的弹窗，这种弹窗的内容比较少见；用SBie结束沙盘内进程，一切ok

，有些事是很简单的，　vk要加油啊

[讨论] 这算是VK被过吗？

本帖子中包含更多资源