搞了几个有意思的样本 求测试毛豆hips

coolcfan

墨家小子 发表于 2014-9-21 23:21
一些QQ游戏辅助软件会有注入svchost com的行为  甚至启动ie弹窗
http://bbs.kafan.cn/forum.php?mod=red ...

Comodo的弹窗解释得好详细……

墨家小子

coolcfan 发表于 2014-9-21 23:37
Comodo的弹窗解释得好详细……

必须的 大家风范嘛

墨家小子

深山红叶__ 发表于 2014-9-21 23:34
OTZ。

不说了哦 大师 晚安

qq5150

墨家小子 发表于 2014-9-21 22:57
你用的是毛豆7正式版？

是的，测试的是7的正式版，因为8单开hips让人讨厌。。。不过基于规则的自动沙盒还挺好玩的

墨家小子

qq5150 发表于 2014-9-21 23:42
是的，测试的是7的正式版，因为8单开hips让人讨厌。。。不过基于规则的自动沙盒还挺好玩的

你确定一定以及肯定单开毛豆7的hips能够拦截到样本注入svchost？
我这里只能拦截到启动svchost，之后的注入svchost就拦截不到了，随后启动项被写入（下图）
下面这几个也是启动并注入svchost的样本
http://yunpan.cn/Q7hyiBvpShK6j （提取码：423a）PW：infected

2014-09-22 10:51:21   C:\Users\XXXX\Desktop\11 (1).exe   创建进程   C:\Windows\SysWOW64\svchost.exe   
2014-09-22 10:51:17   C:\Users\XXXX\Desktop\11 (1).exe   创建进程   C:\Users\XXXX\Desktop\11 (1).exe   
2014-09-22 10:51:00   C:\Users\XXXX\Desktop\11 (1).exe   修改文件   C:\Users\XXXX\Desktop\11 (1).exe   

墨家小子

qq5150 发表于 2014-9-21 23:42
是的，测试的是7的正式版，因为8单开hips让人讨厌。。。不过基于规则的自动沙盒还挺好玩的

第五个确实能拦截到注入explorer、svchost，但是注入svchost的时候毛豆没提示，貌似直接拦截的

墨家小子

qq5150 发表于 2014-9-21 23:42
是的，测试的是7的正式版，因为8单开hips让人讨厌。。。不过基于规则的自动沙盒还挺好玩的

第四个也是，毛豆直接拦截注入svchost，没有任何提示，只有日志

qq5150

4和5是一样的

墨家小子

qq5150 发表于 2014-9-22 12:23
4和5是一样的

再有这个帖子 你要有时间帮忙测试一下  http://bbs.kafan.cn/thread-1773602-1-1.html

为什么我在win7 X64下毛豆拦截注入svchost没有提示呢？

qq5150

墨家小子 发表于 2014-9-22 10:46
你确定一定以及肯定单开毛豆7的hips能够拦截到样本注入svchost？
我这里只能拦截到启动svchost，之后 ...

这个我测试没有访问svchost内存提示，记录只到syswow64\svchost.exe删除它自身，启动项没发现异常。。。日志也没更多记录