为什么毛豆能发现，但不能真正阻止？

cjwczm

学习中，静观变化和功能更新！

meiguo

[size=+1]COMODO Internet Security 日志

		表	:	Defence+ 日志
		创建日期	:	2010-3-4 19:10:37
		日志范围	:	所有时间
		记录数目	:	16

日期/时间	程序	行为	目标[/td]
03/04/10 19:08:34	C:\test\Ctr.exe	修改文件	C:\Documents and Settings\Administrator\Local Settings\Temp\~DF47AE.tmp
03/04/10 19:08:55	C:\test\Ctr.exe	修改文件	C:\test\Ctr.exe
03/04/10 19:09:15	C:\test\Ctr.exe	修改文件	C:\WINDOWS\system32\wybho.dll
03/04/10 19:09:21	C:\test\Ctr.exe	创建进程	C:\windows\System32\regsvr32.exe
03/04/10 19:09:25	C:\test\Ctr.exe	修改文件	C:\WINDOWS\system32\Thunder.dll
03/04/10 19:09:29	C:\test\Ctr.exe	创建进程	C:\windows\System32\regsvr32.exe
03/04/10 19:09:33	C:\test\Ctr.exe	修改文件	\Device\MountPointManager
03/04/10 19:09:35	C:\test\Ctr.exe	修改注册表键	HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Start Menu
03/04/10 19:09:38	C:\test\Ctr.exe	修改注册表键	HKUS\S-1-5-21-515967899-839522115-1343024091-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Start Menu
03/04/10 19:09:42	C:\test\Ctr.exe	发送消息	C:\windows\Explorer.EXE
03/04/10 19:09:44	C:\test\Ctr.exe	修改文件	C:\Documents and Settings\All Users\桌面\Internet Explorer.lnk
03/04/10 19:09:47	C:\test\Ctr.exe	修改文件	C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
03/04/10 19:09:49	C:\test\Ctr.exe	修改文件	C:\Documents and Settings\Administrator\桌面\Firefox.lnk
03/04/10 19:09:51	C:\test\Ctr.exe	修改文件	C:\Program Files\Internet Explorer\Ctr.exe
03/04/10 19:10:10	C:\test\Ctr.exe	修改文件	C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\TM.lnk
03/04/10 19:10:14	C:\test\Ctr.exe	修改文件	C:\Documents and Settings\Administrator\Local Settings\Temp\123.txt

[size=+1]报告的结尾

meiguo

从表面上看，它的花招就是：

1、wybho.dll
2、Thunder.dll
3、修改：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Start Menu
4、改变接口： C:\windows\Explorer.EXE
5、修改：C:\Documents and Settings\All Users\桌面\Internet Explorer.lnk
6、修改：C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk
7、修改：C:\Documents and Settings\Administrator\桌面\Firefox.lnk
8、修改：C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\TM.lnk


于是可以推测楼主拦截失败的原因是：

没有保护一些启动浏览器的位置，以及对LNK文件修改的防护。

wozai609

回复 13# meiguo


    潜艇兄果然厉害，，终于冒泡了，莫非马甲？学习了。

mikewang

肯定规则有问题，好好查查

mikewang

肯定是规则问题了，好好检查检查自己的规则
V3很成熟了

青衫依旧

我试试看我的规则防的住不[:27:]

george_lee

用V4试了下，忘关AV了查出是TrojWare.W32.Trojan.BHO.~ME病毒，关了AV再运行，无提示，
看日志：在Sandbox中运行，阻止了部分行为（使用程序默认规则，配置：Proactive Security），
修改主页并未成功（IE 8），看来我用默认规则防住了该恶意程序。

ngngngng

13楼 很强大  哦  赞~~~

有没有 把安装文件记录下来的软件啊？~