这个样本 单开HIPS安全模式 直接被过了

tg123321

http://bbs.kafan.cn/thread-1673079-1-1.html
病毒成功注入rudll32

BBCALL

你的规则有问题
正常的默认规则是不可能被过
假图片会利用rundll32.exe创建病毒
问题是预设的规则是不会同意的
而是会问你
是你同意後才被过的

alivi

预设应该不会过~

tg123321

BBCALL 发表于 2013-12-31 18:55
你的规则有问题
正常的默认规则是不可能被过
假图片会利用rundll32.exe创建病毒

假图片只是一个快捷方式，该快捷方式双击后调用explorer启动rundll32，而在Comodo安全模式下，两者均为安全程序，所以放行了？！

tg123321

alivi 发表于 2013-12-31 19:17
预设应该不会过~

你可以试试 我这里是过的

墨家小子

咖啡只能禁运

2013-12-31        19:41:01        已由访问保护规则禁止         AAAA\Administrator        C:\WINDOWS\system32\rundll32.exe        C:\Documents and Settings\Administrator\桌面\图片\foxplayer.dll        用户定义的规则        已阻止的操作: 执行

2013-12-31        19:41:09        已由访问保护规则禁止         AAAA\Administrator        C:\WINDOWS\system32\rundll32.exe        \REGISTRY\USER\S-1-5-21-1123561945-796845957-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Run\Update        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建

2013-12-31        19:41:10        已由访问保护规则禁止         AAAA\Administrator        C:\WINDOWS\system32\rundll32.exe        \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\GrpConv        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建

250662772

我加了一条规则，没用默认，还有配置用的第二项

笨死的火星猪

被过～～
感觉这个应该只有禁运了。
你们说能拦住的，是觉得能拦住还是真的拦住了？

tg123321

@a256886572008 麻烦上报给Comodo官方吧

BBCALL

tg123321 发表于 2013-12-31 19:18
假图片只是一个快捷方式，该快捷方式双击后调用explorer启动rundll32，而在Comodo安全模式下，两者均为安 ...

毛豆已告诉你那是不能信任与辨别的，此外，任何在系统外的动态连结档，尤其是临时目录启动的，都是病毒的最爱，这是必备常识

C:\Windows\System32\rundll32.exe          建立处理程序          C:\Users\*\AppData\Roaming\foxreader.dll