和大家说个鬼故事，毛豆HIPS彻底被过，市面上大部分反勒索被虐体无完肤。

sdtzsf

ICzcz 发表于 2022-5-16 20:16
问题是我水平不高啊

可以找找楼主或者是swizzer

好的。

莱卡

lixihong10 发表于 2022-5-14 14:55
样本很优质，但是这个是新版本有BUG而已。

COMODO 5.12拦截毫无压力。

反而高版本不如低版本的拦截，还是5.12强？

莱卡

众生悟道 发表于 2022-5-14 19:29
**** 作者被禁止或删除 内容自动屏蔽 ****

说法有点道理。毛豆使用最好还是关闭信誉评级和云

lixihong10

莱卡 发表于 2022-5-21 12:29
反而高版本不如低版本的拦截，还是5.12强？

因为新版本移除了增强模式，所以才不如低版本的。
官方日志的是增强模式不兼容新系统，所以干脆移除。

Ice-card

这样本是不是反虚拟机阿，虚拟机里试了没反应

swizzer

Ice-card 发表于 2022-5-28 22:17
这样本是不是反虚拟机阿，虚拟机里试了没反应

虚拟机是Win10系统吗

Ice-card

swizzer 发表于 2022-5-28 22:27
虚拟机是Win10系统吗

是的，WIN10home版21H1

好吧，又测试了下，32位系统没反应，换64位有了

Ice-card

日期和时间         应用程序         行为         目标
2022-05-28 23:00:12          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问内存          C:\Windows\explorer.exe
2022-05-28 23:00:10          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          修改文件          C:\MSI70741.tmp
2022-05-28 23:00:08          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          LocalSecurityAuthority.SystemEnvironment
2022-05-28 23:00:06          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          LocalSecurityAuthority.Restore
2022-05-28 23:00:04          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          LocalSecurityAuthority.Backup
2022-05-28 23:00:02          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          LocalSecurityAuthority.SystemTime
2022-05-28 23:00:00          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          LocalSecurityAuthority.Tcb
2022-05-28 22:59:58          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          C:\Windows\System32\msiexec.exe
2022-05-28 22:59:56          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          IMsiServer
2022-05-28 22:59:54          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          访问COM接口          LocalSecurityAuthority.Shutdown
2022-05-28 22:59:52          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          修改文件          \Device\NamedPipe\wkssvc
2022-05-28 22:59:50          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          修改文件          \Device\CNG
2022-05-28 22:59:48          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          修改文件          \Device\SrpDevice
2022-05-28 22:59:46          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi          修改文件          \Device\KsecDD
2022-05-28 22:59:37          C:\Windows\explorer.exe          创建进程          C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi  

安全模式，我连下钩子弹窗都没有。。。。。。疯狂模式也没有

2022-05-29 00:22:02     C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi     直接键盘访问      
2022-05-29 00:22:02     C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi     访问COM接口     C:\Windows\System32\msiexec.exe
2022-05-29 00:21:59     C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi     访问COM接口     IMsiServer
2022-05-29 00:21:57     C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi     修改文件     \Device\NamedPipe\wkssvc
2022-05-29 00:21:55     C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi     修改文件     \Device\CNG
2022-05-29 00:21:52     C:\Users\Administrator\Desktop\MS.System.Critical.Update.Win10.0-KB17753003.msi     修改文件     \Device\KsecDD

另一个严格的规则，我现在都排查不出哪里把这个COM接口拦了

lixihong10

Ice-card 发表于 2022-5-29 00:20
日期和时间         应用程序         行为         目标
2022-05-28 23:00:12          C:%users\Adminis ...

直接漏了，COMODO的HIPS询问模式下面是无法拦截文件被加密了。
直接阻止倒是有效，但是直接阻止其他程序也无法修改，意义不大了。
搭配一个其他文件防御勉强用用吧。

con16

其實是覺得現在靠HIPS攔勒索那些越來越吃力

看到卡巴那個也滿慘