和大家说个鬼故事，毛豆HIPS彻底被过，市面上大部分反勒索被虐体无完肤。

swizzer

ICzcz 发表于 2022-5-14 21:47
这个完全是不懂装懂

烧煤上天.jpg

swizzer

众生悟道 发表于 2022-5-14 19:29
就像你说的，加了签名，就自动把沙盒过了，这就是因为他根本啥都不懂，不会设置，文件设置里，取消启用云 ...

您大概是没理解楼主想表达的意思。。。


总结起来就是，最新版毛豆的HIPS组件有bug，即使取消证书信任也无法正常拦截msiexec的文件操作；
但是毛豆老版本不存在这个bug，取消证书信任后可以正常拦截msiexec的文件操作。

本质上是在说是毛豆的HOOK处理逻辑有问题。
这个bug也直接说明了所谓的100%防御就是个笑话。一个msi+可信供应商的签名就能绕过沙盒，穿透HIPS；如果再对msi做点修饰（甚至不需要社工学），可以轻松绕过人脑的判断；哪怕用户试图通过在虚拟机/沙盒运行判断安全性，也很容易通过检测虚拟环境进而选择性发作来规避，况且有些软件/工具终究会被用户安装到实体机用以解决一些问题。退一步来说，我还有虚拟机/沙盒逃逸方法可用——换句话说，我总有方法不进入/跳出沙盒。那么之后的攻击只能靠HIPS+VirusScope来防护。

然而，这一套连招下来，毛豆现在这个有bug的HIPS真的能防住吗？

ICzcz

lixihong10 发表于 2022-5-14 14:55
样本很优质，但是这个是新版本有BUG而已。

COMODO 5.12拦截毫无压力。

5.12可以安装在Win10上吗？

lixihong10

ICzcz 发表于 2022-5-14 22:00
5.12可以安装在Win10上吗？

修改一下就可以了 你懂得。
要玩么，要的话发给你，我这测试环境是win10 2004 其他版本要自行测试。

LastF1ame_

ICzcz 发表于 2022-5-14 20:14
大佬不必生气

PS：我感觉这个人的语气很像法虫

乃好，这个不是的，之前在司机区我有见过他的

ICzcz

lixihong10 发表于 2022-5-14 22:08
修改一下就可以了 你懂得。
要玩么，要的话发给你，我这测试环境是win10 2004 其他版本要自行测试 ...

是要模仿这里改吗

https://bbs.kafan.cn/thread-2223520-1-1.html

ICzcz

LastF1ame_ 发表于 2022-5-14 22:09
乃好，这个不是的，之前在司机区我有见过他的

未来的.....

ICzcz

lixihong10 发表于 2022-5-14 22:08
修改一下就可以了 你懂得。
要玩么，要的话发给你，我这测试环境是win10 2004 其他版本要自行测试 ...

要，谢谢大佬

swizzer

LastF1ame_ 发表于 2022-5-14 22:09
乃好，这个不是的，之前在司机区我有见过他的

我记得那时候他还没有这样···

LastF1ame_

swizzer 发表于 2022-5-14 22:15
我记得那时候他还没有这样···

没有哦，他以前在司机区有一次也是这样的