可能穿破 comodo

a256886572008

我發現一件奇怪的事，在total commander v8.01裡面，雙擊那個 快捷方式，comodo 是會把那個 wscript.exe 入沙(這裡是指    c:\UNKNOWN\annie.ani )。



我特別比較過那個wscript.exe的命令行，還是一樣的。

2013-06-21 15:20:23         c:\UNKNOWN\annie.ani         Sandboxed As         Partially Limited

2013-06-21 15:20:27         C:\Program Files\Windows Media Player\wmplayer.exe         Sandboxed As         Partially Limited

2013-06-21 15:20:27         C:\WINDOWS\system32\wscript.exe         Sandboxed As         Partially Limited

2013-06-21 15:20:37         C:\UNKNOWN\annie.ani         Modify File         C:\WINDOWS\system32\drivers\annie.sys

hddu

2013-06-21 18:37:00    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\wscript.exe
文件路径:C:\WINDOWS\system32\drivers\annie.sys
触发规则:所有程序规则->驱动文件保护设置->%WinDir%\system32\drivers\*.sys

hddu

a256886572008 发表于 2013-6-14 01:25
有用其他手動HIPS的人，請檢查一下雙擊.lnk 之後，各個 wscript.exe 的命令行是什麼？

還有，是誰新建那 ...

右键检查.属性,可知快截方式目标是啥，各个wscript.exe 的命令行就是啥。

yjwfdc

2013-6-26 15:14:38    创建文件    阻止
进程: c:\windows\system32\wscript.exe
目标: C:\WINDOWS\system32\drivers\annie.sys
规则: [应用程序]?:\windows\system32\wscript.exe -> [文件]c:\windows\*

2013-6-26 15:14:53    创建新进程    阻止
进程: c:\windows\system32\wscript.exe
目标: c:\program files\windows media player\wmplayer.exe
命令行: "C:\Program Files\Windows Media Player\wmplayer.exe" "D:\病毒\infected\UNKNOWN\beautiful_girl_part_3.avi
规则: [应用程序]* -> [子应用程序]*.exe