貌似默认规则拦截不到这个样本写启动呢？

显示全部楼层 · 发表于 2014-1-21 10:38:37

zandalong 发表于 2014-1-20 14:35
加载启动项的样本？

是的这个木马加载的启动项咖啡的默认规则在极限情况下没有拦截

显示全部楼层 · 发表于 2014-1-21 10:48:54

墨家小子发表于 2014-1-21 10:38
是的这个木马加载的启动项咖啡的默认规则在极限情况下没有拦截

VSE默认的最大保护居然被绕过了

启动项加载拦截是最基本的HIPS功能

数字可否拦截？

显示全部楼层 · 发表于 2014-1-21 10:53:47

本帖最后由 STCn1000 于 2014-1-21 10:54 编辑

zandalong 发表于 2014-1-21 10:48
VSE默认的最大保护居然被绕过了
启动项加载拦截是最基本的HIPS功能
数字可否拦截？

别提了
这样本丧心病狂的很。

显示全部楼层 · 发表于 2014-1-21 10:55:45

STCn1000 发表于 2014-1-21 10:53
别提了
这样本之丧心病狂。连SSF和outpost都被穿
（同名的几个好像行为都差不多嘞）

我记得数字特别喜欢拦截启动项，不知可否绕过？
OPF和SSF也是默认的最大防护？连COMODO都败阵了？

显示全部楼层 · 发表于 2014-1-21 10:56:50

zandalong 发表于 2014-1-21 10:55
我记得数字特别喜欢拦截启动项，不知可否绕过？
OPF和SSF也是默认的最大防护？连COMODO都败阵了？[:xi29 ...

嘛。。好像搞错了。是同名的一个样本穿了SSF。然后OPF勉强拦住来着
http://bbs.kafan.cn/thread-1679297-1-1.html
这个是同名的一个样本
反正火狐姐的样本就是以虐待各大HIPS为乐的那种

显示全部楼层 · 发表于 2014-1-21 11:02:24

STCn1000 发表于 2014-1-21 10:56
嘛。。好像搞错了。是同名的一个样本穿了SSF。然后OPF勉强拦住来着
http://bbs.kafan.cn/thread-1679297 ...

只是看能不能拦截到几个重点行为
对于SSF和OPF来说，这个样本利用explorer写入启动项，完全能够拦截到的，只是对于注入没有完全拦截到。对于咖啡，我本以为用默认的启动项防御规则可以轻松的拦截，但是实际测试之后我发现咖啡根本没有拦截到写启动项，只是自定义规则之后才能拦截到，这让我感到十分奇怪，难道默认规则有缺陷？
以上只是我一人的测试所以发帖问问用咖啡的大家

显示全部楼层 · 发表于 2014-1-21 11:04:03

STCn1000 发表于 2014-1-21 10:56
嘛。。好像搞错了。是同名的一个样本穿了SSF。然后OPF勉强拦住来着
http://bbs.kafan.cn/thread-1679297 ...

变态的样本

HIPS还是要搭配杀软使用。

显示全部楼层 · 发表于 2014-1-21 11:08:06

墨家小子发表于 2014-1-21 11:02
只是看能不能拦截到几个重点行为
对于SSF和OPF来说，这个样本利用explorer写入启动项，完全能够拦截到的 ...

估计是默认规则就没考虑到替换ime吧。。难道咖啡认为大家都不用微软拼音。。

显示全部楼层 · 发表于 2014-1-21 11:08:31

zandalong 发表于 2014-1-21 11:04
变态的样本
HIPS还是要搭配杀软使用。

你要看数字的拦截我可以开虚拟机跑跑看看

显示全部楼层 · 发表于 2014-1-21 11:18:22

STCn1000 发表于 2014-1-21 11:08
估计是默认规则就没考虑到替换ime吧。。难道咖啡认为大家都不用微软拼音。。

可是默认规则里我不排除任何程序的，也就是说无论你是黑是白只要写入启动项，咖啡就会拦截。所以我觉得还是咖啡的默认规则里注册表有漏项的

[求助] 貌似默认规则拦截不到这个样本写启动呢？