对付流氓还得靠

显示全部楼层 · 发表于 2014-2-4 18:59:52

ksss5566 发表于 2014-2-4 18:04
看这个帖子的样本http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1683713&extra=page%3D1，卡巴2013 ...

在外探亲，木有电脑很多年，看了下行为，是第一步启动cmd不能拦截吗？卡巴默认把系统文件放入信任组，这个样本用cmd执行命令行可能会悲剧，另外安装的软件有签名，可能因为有签名信任了，乡下没通电，手机不行了，还请测试指教

显示全部楼层 · 发表于 2014-2-4 20:34:13

hqhxzly 发表于 2014-2-4 18:59
在外探亲，木有电脑很多年，看了下行为，是第一步启动cmd不能拦截吗？卡巴默认把系统文件放入信任组，这 ...

水平有限，只是喜欢双击。卡巴默认规则，去掉了信任数字签名和从卡巴更新规则，直接双击样本，从第一个弹窗出现就开始拒绝，也不行。好像有弹窗，选择了受限组，记不清楚了。没有弹窗关于启动cmd的。应该是不能拦截启动cmd。

显示全部楼层 · 发表于 2014-2-5 09:13:26

ksss5566 发表于 2014-2-4 18:04
看这个帖子的样本http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1683713&extra=page%3D1，卡巴2013 ...

基本上就是这个了。。

显示全部楼层 · 发表于 2014-2-6 13:46:07

卡巴在这一块，的确是力度不怎么样，需要自己制定一些规则

显示全部楼层 · 发表于 2014-2-9 22:08:22

Killer_cg 发表于 2014-2-6 13:46
卡巴在这一块，的确是力度不怎么样，需要自己制定一些规则

我错了，虚拟机里kis2014（b补丁），自动档，默认设置，未更新，试了上面的流氓样本一个，双击，卡巴弹窗，选了高限制组，10分钟后也没看到装上什么软件，应该是样本释放出来的安装包都给拦住了。
@hqhxzly

显示全部楼层 · 发表于 2014-2-9 22:18:46

ksss5566 发表于 2014-2-9 22:08
我错了，虚拟机里kis2014（b补丁），自动档，默认设置，未更新，试了上面的流氓样本一个，双击，卡巴弹 ...

如果ie的浏览器主页没改，那应该是这个'cmd.exe /c start temp\Rea.BAT'被当成注入cmd代码拦截了，我偷懒，还是米有测试，多谢测试

显示全部楼层 · 发表于 2014-2-10 09:20:50

本帖最后由 ksss5566 于 2014-2-10 09:22 编辑

hqhxzly 发表于 2014-2-9 22:18
如果ie的浏览器主页没改，那应该是这个'cmd.exe /c start temp\Rea.BAT'被当成注入cmd代码拦截了，我 ...

6000W那个样本，代码注入被限制了，不能修改ie主页。能够启动tmp文件夹下的安装程序，弹出uac提示，如果允许执行安装，主页会被修改，应该是安装程序修改的。
6部合集那个样本，小动作都不能执行。

显示全部楼层 · 发表于 2014-2-10 16:11:03

ksss5566 发表于 2014-2-9 22:08
我错了，虚拟机里kis2014（b补丁），自动档，默认设置，未更新，试了上面的流氓样本一个，双击，卡巴弹 ...

卡巴虽不错，但还是要进行一些必要的设置的，这样才能发挥它的最大作用

显示全部楼层 · 发表于 2014-2-10 16:15:04

对付流氓就得用流氓，就是这样

显示全部楼层 · 发表于 2014-2-11 09:46:29

Killer_cg 发表于 2014-2-10 16:11
卡巴虽不错，但还是要进行一些必要的设置的，这样才能发挥它的最大作用

我这里只是虚拟机里，瞎玩。实机一定是会设置的，多谢指点。