» Comodo Internet Security

Цитата:

Интересно, если в KillSwitch снять галку «настройка» > «разрешить сетевые адреса», какие IP на их месте будут...

downloads.comodo.com 178.255.82.1 netname: COMODOGROUP country: GB
download.comodo.com 91.199.212.171 netname: COMODO country: GB

и чего?

Цитата:

и чего?

Известно чего: исключаем блокировку обновления каким-нибудь зловредом...
IP правильные
Но тем более странно, что в журнале пусто

кстати, насчет зловредов - в списке процессов KillSwitch, открывших соединения, появляется один безымянный, который открывает соединения, которые были закрыты другими процессами, но он есть не всё время, и трафик у него 0-й

например, достаточно закрыть страницу forum.ru-board.com, чтобы у этого "приложения" появились открытые соединения с forum.ru-board.com:80 и пометкой Time Wait

причем у этого "приложения" неактивны пункты меню "перейти к процессу" и "закрыть"

это нормально?

Gourmet
Цитата:

это нормально?

Да, судя по всему, это список соединений, закрытых различными приложениями и находящихся пока в состоянии time-wait

Gourmet

Цитата:

например, достаточно закрыть страницу forum.ru-board.com, чтобы у этого "приложения" появились открытые соединения с forum.ru-board.com:80 и пометкой Time Wait

Netstat

Вопрос: cmdupd.exe в процессах висит постоянно или только на момент обновления?

emhanik
с Вашего блога

Цитата:

2) открываем «Защита+ > Поведенческий анализ», ставим галку «Не блокировать файлы из этого списка», в список исключений добавляем группу

не пойму где это в 5-ке найти?

rrr777
Насколько помню, в 5-ке нет исключений для автопесочницы

Однако те слова относятся только к автопесочнице в режиме полной блокировки, а при аналогичной защите хипсом пункт 2) другой

Кстати, возвращаясь к обсуждению хипса в безопасном режиме... Вам, если хотите его попробовать, логичнее всего было бы сделать бэкап текущей конфигурации «параноидального режима», затем поудалять все правила, кроме дефолтных, и переключиться в безопасный: слишком большая разница меджу этими режимами, чтобы пользоваться одинаковыми правилами

emhanik
да это я понял, бэккап есть, может попробую

Цитата:

Вопрос: cmdupd.exe в процессах висит постоянно или только на момент обновления?

cmdupd.exe постоянно висит в процессах, но в сетевых соединениях его не видно

Gourmet

Цитата:

cmdupd.exe постоянно висит в процессах

А не должен. Систему перезагружать пробовал?

XenoZ

Цитата:

А не должен. Систему перезагружать пробовал?

Иногда может, но только тогда, например, когда в ожидании обновить базы, время очередного обновления прошло, а он там висит, и даже необязательно потому что в настройках по обновлению какой нибудь "do not check" отмечен, иногда один зациклившийся скрипт в браузере может послужить причиной, но, даже перегрузив браузер, уж даже не говоря о самой системе, всё должно вернуться в норму. (Такое довольно часто приходится наблюдать на системах постарше и помедленнее - там приходится выключить браузер, подождать и, только обновив вручную, опять запустить... )

Цитата:

А не должен. Систему перезагружать пробовал?

Попробовал вчера - cmdupd в памяти не появился. Но сегодня Комод снова пожелтел. Нажал Исправить - и пошла та же фигня. И с попыткой Обновить всё тоже самое, что было до перезагрузки. И процесс cmdupd снова в памяти висит...

как в Comodo Internet Security Premium отключить рекламу?

Снять галки, подчеркнуто красным

Установил на 8ку комодо фаервол 6.3.302093.2976
Не пойму, что нужно включить, чтобы при запросе "что делать" я мог бы запретить доступ на конкретно этот айпи адрес? А то получается, если я запрещаю лезть туда то, то запрет идет сразу и на всё!
В старых версиях так работало, я мог поайпи поочереди блокировать или разрешать, если программа лезет по разным айпи.

Добавлено:
Всё, спасибо, нашел сам

CIS ver.7.0.313494.4115 во время установки пристал, как водится, к совершенно безобидной проге. Как я ни старался, 2 файла из установочной сборки застряли в списке "Неопознанные файлы", да так основательно, что ничем их оттуда не вышибить.

"Удалить", "обновить", "переместить" - вроде все работает, но стоит только обновить главное окно CIS, как они снова тут как тут.
Может, кто что посоветует, а?
Да, файлов этих самих давно и в помине нет, сразу после установки были удалены. Тем не менее CIS все о них забыть никак не может

Цитата:

CIS ver.7.0.313494.4115 во время установки пристал, как водится, к совершенно безобидной проге. Как я ни старался, 2 файла из установочной сборки застряли в списке "Неопознанные файлы", да так основательно, что ничем их оттуда не вышибить.

Это баг Комодо 6-ой и 7-ой версии.

All
Внезапно обнаружил, что 5-ка и 6-ка не защищают от выполнения кода посредством rundll32.exe... Хорошая новость: 7-ка защищает

Дайте, пожалуйста, знать, если я ошибаюсь в чем-нибудь:
- в CIS ниже 7 защититься от ярлыка типа «C:\Windows\system32\rundll32.exe surprise» вообще невозможно: ни автопесочницей, ни хипсом, ни в каком режиме
- в CIS7 можно, лишь бы анализ командной строки был включен

Какие еще уязвимости знаете?

emhanik
может пригодится для вашего блога такая информация

emhanik

Цитата:

в CIS ниже 7 защититься от ярлыка типа «C:\Windows\system32\rundll32.exe surprise» вообще невозможно: ни автопесочницей, ни хипсом, ни в каком режиме

Запустил первый попавшийся: rundll32.exe shell32.dll,Control_RunDLL timedate.cpl
из командной строки ТС, алерты последовательно:
TOTALCMD64.EXE Создание процесса C:\Windows\System32\rundll32.exe
TOTALCMD64.EXE Создание процесса C:\Windows\System32\timedate.cpl
5.12.256249.2599

xp007
Спасибо, буду иметь в виду. Еще не дошли руки с URL-фильтром как следует разобраться...
Пока даже не понял, имеет ли он свои, комодовские, обновляемые списки

Skif_off
Конкретно в моем случае ярлык такой:

Код: %hoMEdrive%\WINDOWS\System32\rundll32.exe ~~PNHZOLDBSWCU.ini, lnk

emhanik
Опишите поподробнее, пожалуйста, где и какие файлы должны быть, чтобы смоделировать ситуацию.

Skif_off
Ярлык, имитирующий диск, и рядом файл типа «~~PNHZOLDBSWCU.ini»

Конкретно этот вирус создает на на флешке такую структуру (имя каталога внизу — неразрывный пробел)

Код: Disk (4GB).lnk 1,522
desktop.ini 2,761
Thumbs.db 192,512
~~PNHZOLDBSWCU.ini 35,266,656
 \
desktop.ini 126

emhanik
[more=Вот лог (что дальше - не смотрел):]

Код: 17:59:11 C:\Windows\System32\rundll32.exe Создание процесса C:\Windows\System32\rundll32.exe
17:59:12 C:\Windows\System32\rundll32.exe Создание процесса C:\Windows\System32\rundll32.exe
17:59:14 C:\Windows\System32\rundll32.exe Создание процесса C:\Windows\SysWOW64\rundll32.exe
17:59:16 C:\Windows\System32\rundll32.exe Изменение файла \Device\KsecDD
17:59:19 C:\Windows\System32\rundll32.exe Доступ к COM интерфейсу {9BA05972-F6A8-11CF-A442-00A0C90A8F39}
17:59:20 C:\Windows\System32\rundll32.exe Доступ к COM интерфейсу C:\Windows\explorer.exe
17:59:21 C:\Windows\System32\rundll32.exe Изменение ключа реестра HKUS\S-1-5-21-xxx-1000\Software\Microsoft\windows\CurrentVersion\Internet Settings\Connections
17:59:23 C:\Windows\System32\rundll32.exe Изменение ключа реестра HKUS\S-1-5-21-xxx-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
17:59:23 C:\Windows\System32\rundll32.exe Изменение ключа реестра HKUS\S-1-5-21-xxx-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
17:59:24 C:\Windows\System32\rundll32.exe Изменение ключа реестра HKUS\S-1-5-21-xxx-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride
17:59:25 C:\Windows\System32\rundll32.exe Изменение ключа реестра HKUS\S-1-5-21-xxx-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings
17:59:25 C:\Windows\System32\rundll32.exe Доступ к DNS/RPC
17:59:31 C:\Windows\System32\rundll32.exe Создание процесса C:\ATI\Catalyst.exe
17:59:58 C:\ATI\Catalyst.exe Создание процесса C:\ATI\Catalyst.exe
18:00:30 C:\ATI\Catalyst.exe Изменение файла \Device\KsecDD
18:00:31 C:\ATI\Catalyst.exe Создание процесса C:\Temp\guixjylambodpergshujvkymznbpcqes.com
18:00:38 C:\Temp\guixjylambodpergshujvkymznbpcqes.com Создание процесса C:\Temp\guixjylambodpergshujvkymznbpcqes.com
18:00:39 C:\Temp\guixjylambodpergshujvkymznbpcqes.com Создание процесса C:\Windows\syswow64\msiexec.exe

Skif_off
Спасибо за ответ

Насчет того, что до создания файла Catalyst.exe ничего опасного не происходило, у меня есть сомнения: взять хоть параметры прокси...
Но суть даже не в том, что делал этот конкретный зловред, а в принципиальной возможности выполнить от имени rundll32 что угодно

Квалифицированный пользователь, конечно, не будет в здравом уме запускать ярлыки вместо открытия каталогов. Возможно, ему хватит той защиты, что есть в 5-ке

Речь о том, что юзеров попроще (которым вообще алерты показывать нельзя) защитить не удастся никакой настройкой

Впрочем, если у меня юзеры сидят под ограниченной учетной записью, да еще хипсом молча блокируется изменение защищенных областей пользовательского раздела реестра, некоторых файлов и т.п., то кое-какая защита сохраняется... Но все равно нагадить можно

Gourmet
За то время, что мы едим друг другу мозг, уже можно было Комод переустановить и настроить не один раз... Что и предлагаю сделать, ибо: слишком мало входящей информации.

emhanik
Цитата:

Внезапно обнаружил, что 5-ка и 6-ка не защищают от выполнения кода посредством rundll32.exe

Цитата:

В какой-то момент зараза создает exe-файл и пытается запустить. Он уже блокируется без проблем

Таки не совсем понятна суть проблемы: при запуске неизвестного файла должен быть либо алерт, либо блокировка, в зависимости от настроек. Одно но: rundll32.exe должно быть указано как доверенное (разрешенное) максимум.

XenoZ
Цитата:

Таки не совсем понятна суть проблемы

Цитата:

в принципиальной возможности выполнить от имени rundll32 что угодно

Цитата:

rundll32.exe должно быть указано как доверенное (разрешенное) максимум

Тогда зловред сможет сделать все, кроме запуска новых процессов
В моем случае ему понадобилось запустить Catalyst.exe — это и «спасло»

Господа, а подкажите где взять версию Comodo Firewall 5.10 в сети полно а не знаю какая из них правильная. Если у кого есть или кто знает где точно правильная поделитесь вместе с хешами.

Скачиваешь любую нашедшую и проверяешь цифровую подпись. Если она действительная, то устанавливаешь её безбоязненно. Дополнительно можно проверить на Virustotal.

кто нибудь знает ключи тихой установки Comodo Internet Security Premium 7, например только Антивируса без фаервола?