样本区一个敲竹杠病毒，毛豆下桌面任务栏消失

wyy517523

巴山冷箭 发表于 2013-10-11 16:37
规则制定不严谨  不要随意的实机试毒

刚才看到该帖，特装了毛豆512 XP  用自己的规则试了试，一连放行2步 ...

额，帖子里有说明，是在虚拟机里，另外，我用的默认规则，只是把最后的全局那个全部选阻止，开的疯狂模式，关了云端，关了沙盒，而从上往下匹配，只能匹配全局规则，按理来说未知程序只能匹配最后的那个全局规则。能上传规则么？学习学习！

中华

其实毛豆就是一款辅助的手动的分析工具。看你怎么玩了！没有绝对完美的东西。我从来不预制定什么规则，我只把自己电脑用的软件都给设置好就行了，因为我不准备制定什么大众规则，如果有完美大众规则 毛豆的工程师早发布了、他们比谁都有资格制作规则！

wyy517523

中华 发表于 2013-10-11 17:38
其实毛豆就是一款辅助的手动的分析工具。看你怎么玩了！没有绝对完美的东西。我从来不预制定什么规则，我只 ...

呵呵，有道理!

momu2013

毛豆在protective Security保护模式下貌似有拦截提示，不敢放行啊！

momu2013

随便说一下，我的comodo是5.4的。

wyy517523

momu2013 发表于 2013-10-11 18:25
毛豆在protective Security保护模式下貌似有拦截提示，不敢放行啊！

这个放不放行不是重点，因为只要你在桌面或其他地方双击启动任何程序，不管是正常程序还是病毒，都是由explorer.exe执行的。当然，taskmgr.exe也可以执行某个程序，那是另外一回事

莱薇

momu2013 发表于 2013-10-11 18:25
毛豆在protective Security保护模式下貌似有拦截提示，不敢放行啊！

弱弱的问一句这是5.12的版本

电影结束了

直接进6.3沙盘。。。

adair

试试添加通配符*到受保护的COM、受保护的注册表、受保护的文件/目录，然后受保护的COM在排除项中只允许\ThemeApiPort, 受保护的文件/目录只允许\Device\KsecDD，看看运行后会有些什么东东。
另外hook项允许 C:\WINDOWS\system32\uxtheme.dll
不要用在全局规则中试，可以制定一个目录规则例如C:\test\* 来做测试。

wyy517523

adair 发表于 2013-10-11 22:52
试试添加通配符*到受保护的COM、受保护的注册表、受保护的文件/目录，然后受保护的COM在排除项中只允许\The ...

日期        应用程序        行为        目标
2013-10-11 23:14:15         D:\病毒样本\密码\QQ免费领取8钻一会员.exe         安装钩子         C:\WINDOWS\system32\MSCTF.dll
2013-10-11 23:14:15         D:\病毒样本\密码\QQ免费领取8钻一会员.exe         创建进程         C:\WINDOWS\system32\net.exe

2013-10-11 23:14:43         D:\病毒样本\密码\QQ免费领取8钻一会员.exe         创建进程         C:\WINDOWS\system32\net.exe
2013-10-11 23:14:43         D:\病毒样本\密码\QQ免费领取8钻一会员.exe         安装钩子         C:\WINDOWS\system32\MSCTF.dll
2013-10-11 23:14:53         D:\病毒样本\密码\QQ免费领取8钻一会员.exe         安装钩子         C:\WINDOWS\system32\MSCTF.dll
2013-10-11 23:14:53         D:\病毒样本\密码\QQ免费领取8钻一会员.exe         访问内存         C:\WINDOWS\System32\CTFMON.EXE

报告结束