作者SDUM (Roger)
看板AntiVirus
标题[心得] 最近出现，会破坏数位签章的病毒。
时间Thu Feb 21 19:32:17 2013
1.样本下载：
http://www.avpclub.ddns.info/discuz/viewthread.php?tid=45853
2.动作：
http://ppt.cc/BO1-
3.中毒情况：
(1)有些防毒软体会因为自保而打不开(comodo就是)。
(2)右键查看一些正常EXE，会发现 数位签章不见了。
(3)使用sigverif检查系统EXE档的数位签章，会失效。
4.防御方法：
如下图，在HIPS规则中，把下面这个 加入受保护的登录档机码。 (comodo默认没有)
*\Software\Microsoft\Cryptography\*
http://i.imgur.com/GfkXL8h.png
5.解决方法：
开始 --> 执行 --> 输入
regsvr32.exe "C:\WINDOWS\system32\wintrust.dll"
换句话说，就是重新注册 wintrust.dll 这个DLL档。
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 140.121.221.134
1F：推 miamodo:谢谢分享. 02/23 13:49
2F：推 s109612044:谢谢分享 03/06 21:37