求单开毛豆hips测试一下这个样本

显示全部楼层 · 发表于 2014-1-4 15:12:19

hqhxzly 发表于 2014-1-4 15:08
有，只是手机党记不住准确位置了
楼上测试，没见到这两个位置的保护日志啊

64位天生免疫，这种样本貌似就是来磨练32位系统的

win7 64位，启动项没异常

显示全部楼层 · 发表于 2014-1-4 15:14:09

hqhxzly 发表于 2014-1-4 14:53
昨天晚上，32位xp系统测试的，我清清楚楚的看到在
C:\Documents and Settings\Administrator\Start Menu\P ...

为什么我觉得这个样本要是C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp这样启动才流弊呢

显示全部楼层 · 发表于 2014-1-4 15:27:23

8.1 X64 无论怎么点和用管理权限，都没法运行，所以重启也就什么事都没发生了

显示全部楼层 · 发表于 2014-1-4 15:30:59

hack1238 发表于 2014-1-4 15:27
8.1 X64 无论怎么点和用管理权限，都没法运行，所以重启也就什么事都没发生了

嗯，看来 64位天然免疫了

显示全部楼层 · 发表于 2014-1-4 21:21:06

64位系统所谓安全只是传说别当真...

显示全部楼层 · 发表于 2014-1-4 22:06:34

qq5150 发表于 2014-1-4 14:13
小白路过点了下。放行对explorer内存的访问，explorer重启。。。一切正常，提供部分日志

你的explorer.exe规则是怎么？分享一下好吗？

显示全部楼层 · 发表于 2014-1-4 22:24:57

本帖最后由 adair 于 2014-1-4 22:26 编辑

实机试了一下，XP，启用了系统的DEP - data excution prevention，普通用户环境。
毛豆没记录到什么有价值的拦截，有个修改文件 \Device\root#……拦截，不知道中不重要。最后弹窗结束了。

显示全部楼层 · 发表于 2014-1-4 23:08:33

adair 发表于 2014-1-4 22:24
实机试了一下，XP，启用了系统的DEP - data excution prevention，普通用户环境。
毛豆没记录到什么有价值 ...

你这很明显是来踢馆的没看标题么你要加上EMET我就更无话可说了
样本无法写入内存啊很明显的

显示全部楼层 · 发表于 2014-1-4 23:21:01

墨家小子发表于 2014-1-4 23:08
你这很明显是来踢馆的没看标题么你要加上EMET我就更无话可说了
样本无法写入内存啊很明显的

如果要完全单单的hips，那win8、win7也要关闭UAC才能做到，我的实机就不冒险了

显示全部楼层 · 发表于 2014-1-4 23:36:41

adair 发表于 2014-1-4 23:21
如果要完全单单的hips，那win8、win7也要关闭UAC才能做到，我的实机就不冒险了

win7 win7以下的系统中了这种锁屏的非常好解决，不用借助别的软件可以轻松拿掉锁屏木马的启动项、删除木马文件
不过实机还是算了

[求助] 求单开毛豆hips测试一下这个样本