这个国产勒索过了CFW的HIPS默认规则，13:45实测hips能弹窗了。

显示全部楼层 · 发表于 2017-1-1 02:33:24

本帖最后由 68221281 于 2017-1-1 21:44 编辑

http://bbs.kafan.cn/forum.php?mo ... 6orderby%3Dlastpost
样本是易语言写的，CFW开了沙盒的话，默认会入沙，但不会报毒。关沙盒直接双击，就被加密了

求应对的hips规则

==============================================
有人说毛豆默认hips不保护桌面，但是从我之前测的勒索样本来看，毛豆是可以识别桌面批量文件篡改的。虽然可能与FD的规则无关，和新添加的那个勒索识别器有关。但实测很多勒索都可以轻松对付，这次的测试也以为可以对付。我猜可能这个识别器对易语言不敏感吧，谁能给官方反应一下吗？
==============================================
更新一下，这个样本启动不弹窗，并且在我这里连comodo自己的文件夹都改了的，和被保护的对象无关。而且那个截图不完整（隐私问题），我的桌面是有非文档类的文件，照样被这个勒索加密了。@tg123321 @电脑发烧友
==============================================

现在comodo的hips能拦截了。我发誓当时测的时候是不能的

@电脑发烧友 @tg123321 现在修改桌面的文件，会弹窗了。。。注意文档类的篡改，也会弹窗的。

显示全部楼层 · 发表于 2017-1-1 05:47:04

哇，你不睡覺挖? 那個..為什麼要關沙盒

想HIPS規則...那就把圖片文檔這類都加入隔離應用程式試試看

(我亂說的..其實依靠沙盒就好了，HIPS安全模式足以)

显示全部楼层 · 发表于 2017-1-1 07:35:25

本想试试，没想到CIS杀了

显示全部楼层 · 发表于 2017-1-1 08:16:41

本帖最后由 con16 于 2017-1-1 09:05 编辑

HIPS就算給你改規則抓到
以後還是可能有新的會過
這個就處於被動，碰到有問題只能在加強
另外就是規則沒改好，也可能漏洞越大...

目前防勒索就是要靠自動沙盒+檔案評價黑白名單
最有效

毛豆也推薦功能全開來防禦

显示全部楼层 · 发表于 2017-1-1 09:05:40

我只能告诉你，不作死不会死。

显示全部楼层 · 发表于 2017-1-1 09:07:25

COMODO规则默认只保护重要位置，对于文档之类的从来不管，只能手动加入相应规则。

显示全部楼层 · 发表于 2017-1-1 10:04:04

明明能入沙，非要实际双击，怪谁？

comodo默认规则本来就不防文档、图片，得自己做规则

显示全部楼层 · 发表于 2017-1-1 10:09:55

本帖最后由 con16 于 2017-1-1 10:16 编辑

總之要測勒索就乖乖開沙盒

尤其是自己沒編寫規則能力的
還是了解一下自動沙盒如何使用

毛豆出這個就是給這類使用者
白名單控制+自動入沙
今後也是維護重點

显示全部楼层 · 发表于 2017-1-1 10:58:36

防勒索还是自动入沙靠谱。默认设置病毒监控 +自动沙盒 + viruscope行为分析

显示全部楼层 · 发表于 2017-1-1 11:07:10

本帖最后由 con16 于 2017-1-1 11:16 编辑

是不知道為何有人認為單靠HIPS可以都攔住勒索的加密

包含毛豆官方在內，看過勒索測試都是要有沙盒

[分享] 这个国产勒索过了CFW的HIPS默认规则，13:45实测hips能弹窗了。

本帖子中包含更多资源