GqD8i1szV.exe 测试卡巴应用程序控制、防火墙（增加卡巴系统监控测试、SSF测试）

显示全部楼层 · 发表于 2017-7-11 09:19:30

ccboxes 发表于 2017-7-11 09:16
测得不对，卡巴默认是允许低限制组程序启动其他进程的，默认设置下不会拦截样本启动svchost，但接下来样 ...

你有看到svchost被样本注入的提示吗？启动并没有错吧，不让启动程序那就禁运了

显示全部楼层 · 发表于 2017-7-11 09:20:16

ccboxes 发表于 2017-7-11 09:16
测得不对，卡巴默认是允许低限制组程序启动其他进程的，默认设置下不会拦截样本启动svchost，但接下来样 ...

再有就是不用自动，平时弹窗会不会比eset交互模式还要多

显示全部楼层 · 发表于 2017-7-11 09:29:14

墨家小子发表于 2017-7-11 09:15
哈哈哈交互模式你就看看有没有拦截样本注入修改svchost的弹窗就行，别的不重要
再有交互模式之前，你得 ...

这个？

显示全部楼层 · 发表于 2017-7-11 09:30:36

B100D1E55 发表于 2017-7-11 09:29
这个？

不是，启动新程序不用管，不然拦截就是禁运，应该是这个的下一步

显示全部楼层 · 发表于 2017-7-11 09:30:37

墨家小子发表于 2017-7-11 09:19
你有看到svchost被样本注入的提示吗？启动并没有错吧，不让启动程序那就禁运了

那就上图了。实际上SSF完全没拦截到前几步。

显示全部楼层 · 发表于 2017-7-11 09:31:46

墨家小子发表于 2017-7-11 09:30
不是，启动新程序不用管，不然拦截就是禁运，应该是这个的下一步

hmm是的。。不过我后续没看到弹窗了。重新运行一次看看

显示全部楼层 · 发表于 2017-7-11 09:32:13

墨家小子发表于 2017-7-11 09:30
不是，启动新程序不用管，不然拦截就是禁运，应该是这个的下一步

我怀疑SSF是不是拦错了，这个样本卡巴和上面ESET的结果都是注入conhost。

显示全部楼层 · 发表于 2017-7-11 09:33:57

ccboxes 发表于 2017-7-11 09:30
那就上图了。实际上SSF完全没拦截到前几步。

没错，样本启动conhost.exe，SSF并没有拦截到

你这是全手动吧？怎么没看到对svchost的操作

显示全部楼层 · 发表于 2017-7-11 09:35:41

ccboxes 发表于 2017-7-11 09:32
我怀疑SSF是不是拦错了，这个样本卡巴和上面ESET的结果都是注入conhost。

有可能

样本注入conhost这一步达成共识，至于有没有注入svchost……

不如开个盘口吧

显示全部楼层 · 发表于 2017-7-11 09:36:03

[可疑文件] GqD8i1szV.exe 测试卡巴应用程序控制、防火墙（增加卡巴系统监控测试、SSF测试）