搜索
楼主: 墨家小子
收起左侧

[可疑文件] GqD8i1szV.exe 测试卡巴应用程序控制、防火墙(增加卡巴系统监控测试 、SSF测试)

[复制链接]
墨家小子
 楼主| 发表于 2017-7-11 09:19:30 | 显示全部楼层
ccboxes 发表于 2017-7-11 09:16
测得不对,卡巴默认是允许低限制组程序启动其他进程的,默认设置下不会拦截样本启动svchost,但接下来样 ...

你有看到svchost被样本注入的提示吗?启动并没有错吧,不让启动程序那就禁运了
墨家小子
 楼主| 发表于 2017-7-11 09:20:16 | 显示全部楼层
ccboxes 发表于 2017-7-11 09:16
测得不对,卡巴默认是允许低限制组程序启动其他进程的,默认设置下不会拦截样本启动svchost,但接下来样 ...

再有就是不用自动,平时弹窗会不会比eset交互模式还要多
B100D1E55
发表于 2017-7-11 09:29:14 | 显示全部楼层
墨家小子 发表于 2017-7-11 09:15
哈哈哈 交互模式你就看看有没有拦截样本注入修改svchost的弹窗就行,别的不重要
再有交互模式之前,你得 ...


这个?

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
墨家小子
 楼主| 发表于 2017-7-11 09:30:36 | 显示全部楼层

不是,启动新程序不用管,不然拦截就是禁运,应该是这个的下一步
ccboxes
发表于 2017-7-11 09:30:37 | 显示全部楼层
墨家小子 发表于 2017-7-11 09:19
你有看到svchost被样本注入的提示吗?启动并没有错吧,不让启动程序那就禁运了

那就上图了。实际上SSF完全没拦截到前几步。






本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
B100D1E55
发表于 2017-7-11 09:31:46 | 显示全部楼层
墨家小子 发表于 2017-7-11 09:30
不是,启动新程序不用管,不然拦截就是禁运,应该是这个的下一步

hmm是的。。不过我后续没看到弹窗了。重新运行一次看看
ccboxes
发表于 2017-7-11 09:32:13 | 显示全部楼层
墨家小子 发表于 2017-7-11 09:30
不是,启动新程序不用管,不然拦截就是禁运,应该是这个的下一步

我怀疑SSF是不是拦错了,这个样本卡巴和上面ESET的结果都是注入conhost。
墨家小子
 楼主| 发表于 2017-7-11 09:33:57 | 显示全部楼层
ccboxes 发表于 2017-7-11 09:30
那就上图了。实际上SSF完全没拦截到前几步。

没错,样本启动conhost.exe,SSF并没有拦截到
你这是全手动吧?怎么没看到对svchost的操作
墨家小子
 楼主| 发表于 2017-7-11 09:35:41 | 显示全部楼层
ccboxes 发表于 2017-7-11 09:32
我怀疑SSF是不是拦错了,这个样本卡巴和上面ESET的结果都是注入conhost。

有可能样本注入conhost这一步达成共识,至于有没有注入svchost……不如开个盘口吧
Dolby123
发表于 2017-7-11 09:36:03 | 显示全部楼层

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛|优惠券| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 苏ICP备07004770号 ) GMT+8, 2017-11-23 21:11 , Processed in 0.041116 second(s), 4 queries , MemCached On.

快速回复 返回顶部 返回列表