COMODO沙箱被穿，不是病毒

显示全部楼层 · 发表于 2013-3-19 17:32:16

COMODO的沙箱不太行啊，运行之后直接给我关机了，包括在虚拟桌面中运行，整个系统都会关机。

显示全部楼层 · 发表于 2013-3-19 18:05:54

shutdown 命令。。。。。。。肯定不会拦截的。

显示全部楼层 · 发表于 2013-3-19 18:06:30

shutdown -s -t 5 -c "孩子，不早了，早点睡吧，姐帮你关机吧"

貌似是个蛋疼mm

我去，不小心二连了。

显示全部楼层 · 发表于 2013-3-19 18:19:21

显示全部楼层 · 发表于 2013-3-19 18:31:06

COMODO的沙箱有继承性，shutdown命令本身是安全程序，要根据执行它的宿主的性质来判断是否拦截

显示全部楼层 · 发表于 2013-3-19 18:35:09

本帖最后由 a256886572008 于 2013-3-19 18:50 编辑

1.如果不是用 fully virtualized，可以檢查 COM Protection 是否有這一條?

LocalSecurityAuthority.Shutdown

2. 如果是用 fully virtualized，關機規則有內建了。

3. 只有 fully virtualized 的 Object Protection 會和 HIPS 獨立。

更準確的說法是，只有 virtualization (不管哪一種level) 的................

--------------------------
測試了一下:

這個樣本，fully virtualized 也要加那一條規則，才能攔截，真奇怪。

显示全部楼层 · 发表于 2013-4-8 17:54:25

我的COMODO沙箱只有部分限制，但(1).cmd不會造成系統關機

(1).cmd会呼叫conime.exe
而conime.exe会呼叫shutdown
shutdown会访问 LocalSecurityAuthority.Shutdown
由(1).cmd开始至shutdown都是自动入了沙（部分限制）
在LocalSecurityAuthority.Shutdown有保护时
并不会关机

显示全部楼层 · 发表于 2013-4-8 19:31:01

7楼已解~
防住LocalSecurityAuthority.Shutdown即可

显示全部楼层 · 发表于 2013-4-8 20:29:40

Tomin2009 发表于 2013-3-19 18:19

OA强悍

，不过我近来检测到其读盘巨大，是卡开机的原因

[讨论] COMODO沙箱被穿，不是病毒

本帖子中包含更多资源

本帖子中包含更多资源