to desk 本地创建疑似后门端口，上传服务器隐私？

lkj00 · 发表于 2024-11-25 16:21:04

本帖最后由 lkj00 于 2024-11-25 16:23 编辑

通过拦截后并不影响使用，既然不影响使用为什么注册表注册这样端口并且开发？
而且通过日志分析得到这个动作是间歇性的隔一段时间就会注册这个端口，和病毒间谍软件行为间歇性发作类似
怀疑应该服务器自动远程过来或者利用此端口上传某些数据到服务器
分析看是否具有隐私危害性

火绒运营专员 · 发表于 2024-11-25 16:26:37

您好，您是希望我们核实下Todesk是否有该行为吗？

火绒运营专员 · 发表于 2024-11-26 14:08:37

您好，您是希望我们核实下Todesk是否有该行为吗？方便提供下Todesk版本、系统版本以及事件日志吗？

lkj00 · 发表于 2024-11-28 09:14:45

本帖最后由 lkj00 于 2024-11-28 10:10 编辑

火绒运营专员发表于 2024-11-26 14:08
您好，您是希望我们核实下Todesk是否有该行为吗？方便提供下Todesk版本、系统版本以及事件日志吗？ ...

对啊版本 4.7.4.3 日志上传

1.rar (1.73 MB, 下载次数: 6106)

火绒运营专员 · 发表于 2024-11-28 09:19:26

lkj00 发表于 2024-11-28 09:14
对啊版本 4.7.4.3 日志上传

您好，麻烦您这边上传下系统版本和事件日志呢~

lkj00 · 发表于 2024-11-28 10:10:51

火绒运营专员发表于 2024-11-28 09:19
您好，麻烦您这边上传下系统版本和事件日志呢~

已经传了

火绒运营专员 · 发表于 2024-11-28 10:16:00

lkj00 发表于 2024-11-28 10:10
已经传了

好的，我们确认下

火绒运营专员 · 发表于 2024-11-28 10:38:07

楼主您好，麻烦您导出自定义规则上传至论坛，提供一下C:\ProgramData\Huorong\Sysdiag（需要显示隐藏文件或者直接复制路径即可）log.db、log.db-shm、log.db-wal这三个文件，还有您的电脑系统版本是多少？您提到的这个动作是间歇性的隔一段时间就会注册这个端口，这期间您有操作todesk吗？

ndd200 · 发表于 2024-11-28 10:55:45

35600端口，是ToDesk监听的。
https://blog.csdn.net/SL003/article/details/141950344

你要搞明白这个端口是干啥的，直接去问ToDesk客服是不是更好。

火绒运营专员 · 发表于 2024-11-30 17:12:07

楼主您好，麻烦您导出自定义规则上传至论坛，提供一下C:\ProgramData\Huorong\Sysdiag（需要显示隐藏文件或者直接复制路径即可）log.db、log.db-shm、log.db-wal这三个文件，还有您的电脑系统版本是多少？您提到的这个动作是间歇性的隔一段时间就会注册这个端口，这期间您有操作todesk吗？

lkj00 · 发表于 2024-12-2 11:03:15

本帖最后由 lkj00 于 2024-12-2 11:07 编辑

火绒运营专员发表于 2024-11-30 17:12
楼主您好，麻烦您导出自定义规则上传至论坛，提供一下C:\ProgramData\Huorong\Sysdiag（需要显示隐藏文件或 ...

......导出日志后，日志清空了不知道是否需要上传？

log.rar (411.09 KB, 下载次数: 5302)

规则.rar (906 Bytes, 下载次数: 5073)
windwos10 22H2 有操作也会注册没有操作也会注册而且今天发现你们自定义逻辑bug或者被绕过

我明明已经设置阻止注册表写入居然通过读取桌面ini文件达到写入注册表动作？请问火热自定义是否存在拦截漏洞？

因为双休其他同事不知道点自动放行，但是我认为既然设置了规则阻止注册表写入而软件只是读取ini 一个文件为什么方向读取 ini文件居然可以注册表写东西？

火绒运营专员 · 发表于 2024-12-2 11:05:33

lkj00 发表于 2024-12-2 11:03
......导出日志后，日志清空了不知道是否需要上传？

收到，这边先查看下~

lkj00 · 发表于 2024-12-5 08:53:12

火绒运营专员发表于 2024-12-2 11:05
收到，这边先查看下~

进一步观察发现有一点越界行为，不是网上说监听端口，可以通过此端口通过远端下发操作或者怀疑直接可以后台反向远程操作不需要用户同意很吓人居然通过云端直接下发一些操作后门无疑了
证件一通过 35600 端口居然尝试修改注册表登录数据？目的干啥子？

修改特定用户windows 登录注销的注册表，创建特定值（ai搜索了这个值不在微软官方公布注册表里面属于特定私自值具体干啥不清楚）

证据二：服务直接修改注册表的权限和值而且用户修改了此权限利马改回来了？这种行为病毒一样了

你们可以本地测试下

火绒运营专员 · 发表于 2024-12-5 09:09:11

lkj00 发表于 2024-12-5 08:53
进一步观察发现有一点越界行为，不是网上说监听端口，可以通过此端口通过远端下发操作或者怀疑直接可 ...

好的，这边再确认下~

火大大1 · 发表于 2024-12-5 11:16:34

等后续结果