进入containment里的程序还能进行键盘记录、截屏、剪切板记录、录制声音……

墨家小子

Candygu 发表于 2017-6-2 08:33
Win 10 32位系统下：9个当中，有8个运行都是这个结果，另一个运行一会儿之后就自动退出了。

第二个，貌似再沙盘里还会记录键盘输入


************************************************

Comodo和SSF设置分别如下：

墨家小子

Candygu 发表于 2017-6-1 16:06
墨大，能否给样本，我试试。

第五个，在沙盘里简直就是一条龙服务，最后联网跑到马来西亚的一个IP去了。之前用毛豆的hips测试这个样本，并没有拦截到前两项行为

墨家小子

Candygu 发表于 2017-6-1 16:06
墨大，能否给样本，我试试。

这个样本在沙盘里还是会开启摄像头的（http://bbs.kafan.cn/thread-1960941-1-1.html）
毛豆没有摄像头防护，会不会泄露？


http://bbs.kafan.cn/thread-1871795-1-1.html

Candygu

墨家小子 发表于 2017-6-2 11:12
第五个，在沙盘里简直就是一条龙服务，最后联网跑到马来西亚的一个IP去了。之前用毛豆的hips测试这个样本 ...

虚拟机装了win7重新测了一下第5个。
1、沙盒开启，关闭HIPS，并默认位全部虚拟化，只有最后Firewall报联网。
2、沙盒开启，关闭HIPS，设置级别为Partially Limited，样本入沙后进程崩溃。
3、关闭沙盒，开启HIPS，有拦截到Direct Keyboard Access，截图和日志：

2017-06-02 14:03:53         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
2017-06-02 14:02:58         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Create Process         C:\Windows\Microsoft.NET\Framework\v2.0.50727\vbc.exe
2017-06-02 14:02:44         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Direct Keyboard Access         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe
2017-06-02 14:02:44         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
2017-06-02 14:02:42         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Create Process         C:\Windows\Microsoft.NET\Framework\v2.0.50727\vbc.exe
2017-06-02 14:02:21         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKUS\S-1-5-21-2564367185-2125918348-3311631389-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
2017-06-02 14:02:18         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Direct Keyboard Access         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe
2017-06-02 14:01:52         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKUS\S-1-5-21-2564367185-2125918348-3311631389-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
2017-06-02 14:01:52         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
2017-06-02 14:01:47         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Access COM Interface         C:\Windows\System32\svchost.exe
2017-06-02 14:01:38         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Access COM Interface         {8BC3F05E-D86B-11D0-A075-00C04FB68820}
2017-06-02 14:01:38         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
2017-06-02 14:01:33         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify File         \Device\Nsi
2017-06-02 14:01:33         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\services\Tcpip
2017-06-02 14:01:25         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
2017-06-02 14:01:22         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\services\Tcpip
2017-06-02 14:01:07         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify Key         HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
2017-06-02 14:01:04         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Modify File         \Device\Afd\Endpoint
2017-06-02 14:01:00         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe         Create Process         C:\Users\Administrator\Desktop\Compressed\973d6b7bad037a6eaa5685c1e041f1747e93c81eb1acd78014c42a1019add577.bin.exe

Candygu

记得是在6还是8版本发布的时候，官方解释了拦截沙盒入沙程序记录键盘、截屏等操作的处理方式，说的是如果一个程序是由用户主动运行的，那么就不会拦截，但是如果程序是后台悄悄静默运行的，才会拦截这类动作。

墨家小子

Candygu 发表于 2017-6-2 14:28
记得是在6还是8版本发布的时候，官方解释了拦截沙盒入沙程序记录键盘、截屏等操作的处理方式，说的是如果一 ...

你的意思是出现这种情况下：木马进到本地要是有截屏、键盘记录等信息盗取的行为，毛豆的沙盘会拦截。但如果这个木马在沙盘内注入系统进程，然后这个傀儡系统进程再进行信息盗取，毛豆的沙盘会不会拦截注入（下面的测试发现毛豆并不会在沙盘中拦截样本注入explorer）或者拦截信息盗取？
再有，剪切板和摄像头、声音录制，毛豆可以拦截吗？

示例：http://bbs.kafan.cn/thread-1936774-1-1.html

羽扇纶巾

记得曾有豆油求助，输入法在毛豆的沙盘里敲不出字，QQ在毛豆的沙盘里无法截屏。沙盘程序要联网也很正常。还是信任毛豆。

墨家小子

羽扇纶巾 发表于 2017-6-2 15:35
记得曾有豆油求助，输入法在毛豆的沙盘里敲不出字，QQ在毛豆的沙盘里无法截屏。沙盘程序要联网也很正常。还 ...

http://bbs.kafan.cn/thread-1687701-1-1.html
你试试 11111.rar (185.86 KB, 下载次数: 614)
貌似在沙盘里注入svchost是无效的

导演AZ

墨家小子 发表于 2017-6-2 15:29
你的意思是出现这种情况下：木马进到本地要是有截屏、键盘记录等信息盗取的行为，毛豆的沙盘会拦截。但如 ...

你这16L的 被感染的explorer执行scvhost修改这个注册表
这个注册表是管啥的   
应该是网络连接的设置   但是具体是干啥的  求解答

墨家小子

导演AZ 发表于 2017-6-2 15:52
你这16L的 被感染的explorer执行scvhost修改这个注册表
这个注册表是管啥的   
应该是网络连接的设置   ...

在沙盘里修改注册表都无效的，不用关注
重点在那个被注入的explorer，它要是乱来，谁能管住它