咖啡默认规则防御 Sakura exploit kit

显示全部楼层 · 发表于 2013-4-29 20:31:09

2013/4/29 20:25:27 已由访问保护规则禁止 l\AA C:\Program Files (x86)\Java\jre7\bin\java.exe C:\Sandbox\AA\Firefox\user\current\AppData\Local\Temp\xexnekk 防间谍程序最大保护:禁止所有程序从 Temp 文件夹运行文件已阻止的操作: 执行

样本就不提供下载了，样本区有不少类似的，无扩展名，任你自定义规则封锁exe dll com sys用不上了，倒是默认规则默默的出手了

显示全部楼层 · 发表于 2013-4-29 21:17:07

你加以下规则看能拦截：
规则名称：访问控制-tmp（非全局）
要包含的进程：*
要排除的进程：
要阻止的文件或文件夹名：**.tmp
要禁止的文件操作: 执行
阻挡

显示全部楼层 · 发表于 2013-4-29 21:25:03

jxfaiu 发表于 2013-4-29 21:17
你加以下规则看能拦截：
规则名称：访问控制-tmp（非全局）
要包含的进程：*

进一次毒网换一个ip很累的

显示全部楼层 · 发表于 2013-4-29 21:38:53

嗯。学习规则中

显示全部楼层 · 发表于 2013-4-30 14:05:43

本帖最后由 shiyuelaohu 于 2013-4-30 14:09 编辑

嗯，这跟咖啡本身的规则排除有关系，只能排除父进程，无法排除子进程。另外，咖啡的语法规则不像毛豆那样能够区分带后缀名和不带后缀名的文件，这确实是个很纠结的地方。

显示全部楼层 · 发表于 2013-4-30 22:00:02

shiyuelaohu 发表于 2013-4-30 14:05
嗯，这跟咖啡本身的规则排除有关系，只能排除父进程，无法排除子进程。另外，咖啡的语法规则不像毛豆那样能 ...

咖啡区拿规则试毒太少了

显示全部楼层 · 发表于 2013-4-30 22:16:07

墨家小子发表于 2013-4-30 22:00
咖啡区拿规则试毒太少了

嗯,确实如此,用咖啡图的就是个稳定,杀毒部分稳定,规则也稳定.不会说,规则太严厉之后就出现蓝屏现象.而且编写规则的时候丝毫不会卡顿.我最近在做毛豆的规则,规则做得严厉之后居然导致无法开机,在安全模式下调整之后才能启动.(毛豆粉勿喷,各有优缺点)
我到现在连虚拟机都没用过......乃经常试毒,可以给咖啡区带来活力.

显示全部楼层 · 发表于 2013-4-30 22:20:24

shiyuelaohu 发表于 2013-4-30 22:16
嗯,确实如此,用咖啡图的就是个稳定,杀毒部分稳定,规则也稳定.不会说,规则太严厉之后就出现蓝屏现象.而且编 ...

有特殊毒网必须测试一下规则

显示全部楼层 · 发表于 2013-5-1 08:15:04

楼主你是用什么规则的

显示全部楼层 · 发表于 2013-5-1 12:32:26

295394232 发表于 2013-5-1 08:15
楼主你是用什么规则的

咖啡豆绝配：墨池McAfee8.8 P2返璞规则（附墨池COMODO 5X通用规则）

[其他相关] 咖啡默认规则防御 Sakura exploit kit