貌似默认规则拦截不到这个样本写启动呢？

显示全部楼层 · 发表于 2014-1-18 19:16:00

只开通用最大保护禁止将程序注册为自动运行一项，不排除任何进程

看看咖啡能不能拦截到这个样本写入启动项。别的不需要测试。

样本地址：http://bbs.kafan.cn/thread-1679611-1-1.html

显示全部楼层 · 发表于 2014-1-19 13:43:45

没测，看了一下在线分析，应该不能阻止。样本生成假的msctfime.ime替换原有的微软拼音输入法。默认规则应该不会阻挡。

鉴于此，可能需要新加一个规则，阻挡全盘ime文件的修改和生成。

显示全部楼层 · 发表于 2014-1-20 12:07:20

还没测试出来？

显示全部楼层 · 发表于 2014-1-20 13:18:59

大猫熊发表于 2014-1-19 13:43
没测，看了一下在线分析，应该不能阻止。样本生成假的msctfime.ime替换原有的微软拼音输入法。默认规则应该 ...

规则名称：禁止将程序注册为自动运行
要包含的进程：*
要排除的进程：
要阻止的文件或文件夹名：**\startup\**.exe, **\startup\**.bat, **\startup\**.scr, **\startup\**.hta, **\startup\**.pif, **\startup\**.com
要禁止的文件操作：执行、创建、写入、删除

这条默认规则是拦截不了的。。。

显示全部楼层 · 发表于 2014-1-20 14:01:57

jone_jys 发表于 2014-1-20 13:18
这条默认规则是拦截不了的。。。

麻烦贴出拦截日志好吗？

显示全部楼层 · 发表于 2014-1-20 14:05:14

大猫熊发表于 2014-1-19 13:43
没测，看了一下在线分析，应该不能阻止。样本生成假的msctfime.ime替换原有的微软拼音输入法。默认规则应该 ...

为什么不关注注册表呢？如果是替换文件，通用最大保护禁止将程序注册为自动运行里程序全空，任何程序写启动都回见红，可是我运行之后并未见到咖啡拦截
只是在添加下面这条之后才拦截到：
/**/Software/Microsoft/Windows NT/CurrentVersion/Windows/**

显示全部楼层 · 发表于 2014-1-20 14:06:09

zandalong 发表于 2014-1-20 12:07
还没测试出来？

我自定义一条注册表防御规则之后才拦截到
HKALL /**/Software/Microsoft/Windows NT/CurrentVersion/Windows/**
很古怪的样本

显示全部楼层 · 发表于 2014-1-20 14:35:20

墨家小子发表于 2014-1-20 14:06
我自定义一条注册表防御规则之后才拦截到
HKALL /**/Software/Microsoft/Windows NT/CurrentVersion/W ...

加载启动项的样本？

显示全部楼层 · 发表于 2014-1-20 23:32:16

墨家小子发表于 2014-1-20 14:05
为什么不关注注册表呢？如果是替换文件，通用最大保护禁止将程序注册为自动运行里程序全空，任何程序写启 ...

注册表主要是添加输入法用的。真正有威胁的是替换系统自带的拼音输入法文件。

如果用户本身已经启用了微软拼音，则注册表即使拦截了也没有用。加载拼音输入法的时候就会加载病毒。

显示全部楼层 · 发表于 2014-1-21 10:37:24

大猫熊发表于 2014-1-20 23:32
注册表主要是添加输入法用的。真正有威胁的是替换系统自带的拼音输入法文件。

如果用户本身已经启用了 ...

其实我的意思是针对咖啡的启动防御默认规则，在不排除任何程序的前提下，这个样本能够写入启动项，这是不是说明咖啡的默认规则有漏洞？
对于这个样本，咖啡完全可以克制，随便写点规则就行。重点在于默认规则是否存在漏洞？

[求助] 貌似默认规则拦截不到这个样本写启动呢？