Win8x64 咖啡豆基础规则【Update 2014/03/28 Final】

qftest

墨家小子 发表于 2014-3-6 11:18
求小q测试一下远控那种类型的

好啊，请提供样本
三个左右就行，准备吃饭啦

qftest

QQ名片赞王.exe
http://bbs.kafan.cn/thread-1693754-1-1.html

2014/3/6        11:24:48        已由访问保护规则禁止         qftest\Kafan        C:\测试\QQ名片赞王\QQ名片赞王.exe        C:\测试\QQ名片赞王\SkinH_EL.dll        用户定义的规则:03 入侵控制_dll        已阻止的操作: 创建

qftest

墨家小子 发表于 2014-3-6 11:18
求小q测试一下远控那种类型的

远控xvibr
http://bbs.kafan.cn/thread-1692857-1-1.html

VSE

2014/3/5        23:49:19        已由访问保护规则禁止         qftest\Kafan        C:\测试\疑远控xvibr\xvibr.exe        \REGISTRY\USER\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect        防间谍程序标准保护:保护 Internet Explorer 收藏夹和设置        已阻止的操作: 创建
2014/3/5        23:49:19        已由访问保护规则禁止         qftest\Kafan        C:\测试\疑远控xvibr\xvibr.exe        \REGISTRY\USER\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoDetect        防间谍程序标准保护:保护 Internet Explorer 收藏夹和设置        已阻止的操作: 删除
2014/3/5        23:49:19        被端口阻挡规则阻挡         C:\测试\疑远控xvibr\xvibr.exe        通用最大保护:禁止 HTTP 通信        122.224.48.50:80
2014/3/5        23:49:22        已由访问保护规则禁止         qftest\Kafan        C:\测试\疑远控xvibr\xvibr.exe        \REGISTRY\USER\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Internet Explorer\Main\WindowsSearch\Version        防间谍程序标准保护:保护 Internet Explorer 收藏夹和设置        已阻止的操作: 创建


==========================================================================

COMODO

2014-03-03 22:21:19         C:\测试\xvibr\xvibr.exe         访问内存         C:\Windows\explorer.exe
2014-03-03 22:21:02         C:\测试\xvibr\xvibr.exe         访问COM接口         C:\Windows\System32\svchost.exe
2014-03-03 22:20:58         C:\测试\xvibr\xvibr.exe         修改注册表项         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
2014-03-03 22:20:51         C:\测试\xvibr\xvibr.exe         修改注册表项         HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
2014-03-03 22:20:47         C:\测试\xvibr\xvibr.exe         修改注册表项         HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
2014-03-03 22:20:42         C:\测试\xvibr\xvibr.exe         修改注册表项         HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
2014-03-03 22:20:38         C:\测试\xvibr\xvibr.exe         修改注册表项         HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
2014-03-03 22:20:34         C:\测试\xvibr\xvibr.exe         修改文件         \Device\Nsi
2014-03-03 22:20:31         C:\测试\xvibr\xvibr.exe         修改注册表项         HKUS\S-1-5-21-3230559599-2187368653-2364514255-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
2014-03-03 22:20:27         C:\测试\xvibr\xvibr.exe         修改文件         \Device\Afd\Endpoint
2014-03-03 22:20:13         C:\测试\xvibr\xvibr.exe         安装钩子         C:\windows\SYSTEM32\MSVBVM60.DLL
报告结束


这种远控仅靠VSE规则防不了，写再多规则也没用，访问内存+COM接口+挂钩。。。VSE只有跟COMODO配套才能防御

墨家小子

qftest 发表于 2014-3-6 11:23
好啊，请提供样本
三个左右就行，准备吃饭啦

样本区很多

墨家小子

qftest 发表于 2014-3-6 11:27
QQ名片赞王.exe
http://bbs.kafan.cn/thread-1693754-1-1.html

这个是敲竹杠

qftest

墨家小子 发表于 2014-3-6 12:25
样本区很多

吃完饭再看看
你挑选几个经典的来呀，样本区我混得少，那是你的地盘

墨家小子

qftest 发表于 2014-3-6 12:26
吃完饭再看看
你挑选几个经典的来呀，样本区我混得少，那是你的地盘

嗯 那里混经验很快的

qftest

墨家小子 发表于 2014-3-6 11:18
求小q测试一下远控那种类型的

远控

价格表(1).zip
http://bbs.kafan.cn/thread-1690386-1-1.html


COMODO放行跟踪动作






2014/3/6        14:44:05        已由访问保护规则禁止         qftest\Kafan        C:\windows\SysWOW64\rundll32.exe        C:\Users\Kafan\AppData\Roaming\11Game\mysecond.dll        用户定义的规则:03 入侵控制_dll        已阻止的操作: 创建

VSE禁运只需一条规则就搞定，禁止生成dll后就没了动静，没发现写启动写服务之类的后继动作，也没联网
生成以下文件 C:\11Game\bmpinstall.inf

文件内容
[Version]
Signature="$CHICAGO$"
Provider=t@t.com, 2002
[DefaultInstall]
; DelReg=run_DelReg
AddReg=run_AddReg
[run_DelReg]
[run_AddReg]
hkcu,"Software\Microsoft\Windows\CurrentVersion\Run","Update",,"rundll32.exe ""C:\Users\Kafan\AppData\Roaming\11Game\mythird.dll"",PushData"
[Strings]

过不了COMODO安全模式，只好用疯狂模式放行全部动作查看联网行为，确实是远控

jml521m

墨家小子 发表于 2014-3-6 12:30
嗯 那里混经验很快的

墨家小子找到好测试的人了，看人家的热情劲，呵呵。。。一直占据着楼盘高高在上

墨家小子

jml521m 发表于 2014-3-6 15:46
墨家小子找到好测试的人了，看人家的热情劲，呵呵。。。一直占据着楼盘高高在上

表这么说 太直接了