穿破，RD規則問題

显示全部楼层 · 发表于 2013-2-21 17:25:22

本帖最后由 a256886572008 于 2013-2-21 19:46 编辑

樣本：
http://bbs.kafan.cn/thread-1471588-1-1.html

動作：
http://camas.comodo.com/cgi-bin/ ... aed54011488c47c562d

問題：
我重啟之後發現comodo動不了，很多exe的數字簽名不見了。

後來，看了那隻毒的動作，推論RD規則沒有保護
HKLM\Software\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllCreateIndirectData\{9BA61D3F-E73A-11D0-8CD2-00C04FC295EE}

不知道這些註冊表如何修好？

----------------------------------------------

找到解決方法了
regsvr32.exe "C:\WINDOWS\system32\wintrust.dll"

------------------------------------------

如下圖，在HIPS規則中，把下面這個加入受保護的註冊表。 (comodo默認沒有)

*\Software\Microsoft\Cryptography\*

显示全部楼层 · 发表于 2013-2-21 23:56:16

a大几的上报官方

显示全部楼层 · 发表于 2013-2-23 02:19:26

现在的毛豆是个笑话，就一个DW，可能毛豆50年也赶不上啊！

显示全部楼层 · 发表于 2013-2-23 11:25:15

gd8888 发表于 2013-2-23 02:19
现在的毛豆是个笑话，就一个DW，可能毛豆50年也赶不上啊！

why?

实际上用毛豆的多还是DW多？

虽然也很喜欢DW，不过那是给折腾人士的

显示全部楼层 · 发表于 2013-2-23 11:38:52

围观三楼

显示全部楼层 · 发表于 2013-2-23 13:50:12

本帖最后由 a256886572008 于 2013-2-23 13:56 编辑

主要是 comodo 目前，對於文件與註冊表，採取監控重點位置而已。

所以，玩病毒常常遇到東漏西漏。

輕則增加垃圾，重則系統被破壞(像這次)。

----------------------
這也是國外很多用戶喜歡把 sandbox level 改成 fully virtualized 的原因。

显示全部楼层 · 发表于 2013-2-23 14:20:20

强势围观三楼

显示全部楼层 · 发表于 2013-2-23 14:25:09

毛豆的默认注册表规则很多都漏的。
不过这个项目大部分RD规则都没有

显示全部楼层 · 发表于 2013-2-24 11:57:02

还好，我套用严格规则！

[讨论] 穿破，RD規則問題

本帖子中包含更多资源

评分