نقل قول:
نوشته شده توسط drhaniball
مهران جان به نظرت اگه فقط تیک Automatically detect installers/updaters and run them outside توی اون فیلمی که گذاشته بودی توی مقایسه آنتی ویروس ها برداشته شده بود اون 2 مخربی که اجرا شده بود هم اجرا نمیشد ؟
دکتر جان, تمام مخربها در CIS اجازۀ اجرا شدن را به شرط شناسایی نشدن توسط آنتی ویروس را دارند اما وقتی اجرا میشند به دلیل توضیحاتی که قبلا دادم داخل سند باکس قرار میگیرند و با محدودیت زیر اجرا خواهند شد. این محدودیت مربوط به Auto Sandbox است که در زیر توضیح میدم.
اجازۀ تغییر دادن کلید های رجیستری که از قبل در سیستم ثبت شده اند را نخواهند داشت.
اجازه کپی کردن یا پاک کردن فایل ها و پوشه ها و همچنین مخفی کردن آنها را نخواهند داشت.
اجازۀ بستن تسک منیجر و آیکونهایی که در System-try قرار دارند را نخواهند داشت.
اجازۀ ساختن ویروسهایی جدید و کپی کردنشون را به داخل پوشه های نامبردۀ زیر نخواهند داشت.
Windows
System 32
ساخت Autorun.inf در داخل پارتیشن ها.
پوشه های مروبط به بوت ویندوز
اجازۀ قرار گرفتن در استارت آپ ویندوز چه از طریق ثبت کلید ها رجیستری و چه از طریق ثبت خود بعنوان یکی از سرویسهای ویندوز را نخواهند داشت.
اجازۀ دستکاری و یا پاک کردن پوشه ای که CIS در آن نصب شده را نخواهند داشت.
اجازۀ فعال کردن و یا غیر فعال کردن سرویس های ویندوز را نخواهند داشت.
اما این مخربها در صورتی که بصورت Installer باشند یعنی فایل ستاپ داشته باشند مانند Fake AV یعنی آنتی ویروسهای تقلبی, میتونند فایل های نصبی خودشون رو در 2 پوشۀ Program Files و همچنین Appdata کپی کنند. چون این 2 قسمت و همچنین شاخۀ Software در کلید های رجیستری بصورت پیشفرض جزو مکانهای محافظت شده توسط CIS نیستند. دلیل این کار هم بوجود نیامدن مشکلات برای کاربران عادی در هنگام نصب نرم افزار های سالم است. چون اگر این قسمت ها هم محافظت میشدند اونوقت در هنگام نصب برنامه هایی که نه امضای دیجیتالی داره و نه توسط کمودو بعنوان یک برنامۀ سالم شناخته شده, برای کاربران مشکل ایجاد میشد و کمودو بعنوان یک برنامۀ امنیتی که بیشترین دردسر رو برای کاربران ایجاد کرده روی زبانها میوفتاد.
هر چند که این فولدر ها و کلید رجیستری که نام بردم توسط کمودو محافظت نشده اما آیا اگر یک Fake AV مانند اون فیلم با تنظیمات پیشفرض کمودو اجرا بشه و فایل هاشو کپی کنه, میتونه به سیستم آسیبی وارد کنه؟
جواب منفی هست, خیر نمیتونه. این برنامه ها فقط اجازۀ کپی کردن فایل های نصبی را به داخل این پوشه ها خواهند داشت اما اجازۀ فعالیت و اجرا شدن ازشون توسط CIS گرفته میشه. کپی کردن فایل ها به داخل این پوشه ها هر چند که میتونه جزو فایل های آلوده شناخته بشه اما این کار هیچ فرقی با زمانی که شما خودتون از روی آگاهی یک بسته ویروس را از تاپیک معرفی ویروسها دانلود میکنید و آنرا بر روی هاردتون کپی میکنید نخواهد داشت چون این ویروسهای دانلود شده توسط شخص شما فقط به داخل هارد کپی شده اما شما قرار نیست که اونها رو اجرا بکنید.
اگر به ویدیوی 3 که در اونجا توسط MalwareBytes Anti-Malware در سیستمی که کمودو نصبه اسکن میشه دقت کنید متوجه میشید که هیچ کدام از مخربهایی که MBAM پیدا میکنه در حافظۀ مموری بصورت فعال نبودند بلکه MBAM فقط فایل های نصب شده در پوشه های نامبرده شده را پیدا کرده بود.
نوشته شده توسط ila
.gif "N Aggressive (2)")
