分享一个能拦截卡饭所有样本的规则制定方法

显示全部楼层 · 发表于 2011-10-4 01:06:19

本帖最后由 h8888 于 2011-11-22 17:44 编辑

很简单，两句话：1 采用疯狂模式；2 关闭沙盘，再如图设置。

怕图片失效，补充用文字表述一下：（1）D+设置为“疯狂模式”（以V5.5为例，下面的方格均不能打勾）；（2）无法识别的文件选项为“阻止”，方格的勾全部保留；（3）关闭沙盘（即设为禁用）。

补充：svchost.exe services.exe explorer.exe msiexec.exe等都要设立自定义规则监控，否则就会有一定的漏洞。

显示全部楼层 · 发表于 2011-10-4 01:18:19

注意，以下的地方不能打勾，否则启动项或许不能正常添加。

显示全部楼层 · 发表于 2011-10-4 02:29:29

狂人，这么晚了还在试这个。

显示全部楼层 · 发表于 2011-10-4 03:06:23

我也是这样设置的。。。。只不过用的是安全模式。。。。难得折腾。。。。

显示全部楼层 · 发表于 2011-10-4 05:25:34

感谢分享

显示全部楼层 · 发表于 2011-10-4 07:38:44

这样设定后，已用的规则需要调整的太多。麻烦！

显示全部楼层 · 发表于 2011-10-4 08:17:36

全局禁运，各种压力都没了

显示全部楼层 · 发表于 2011-10-4 11:00:43

TomBox 发表于 2011-10-4 03:06
我也是这样设置的。。。。只不过用的是安全模式。。。。难得折腾。。。。

安全模式的这样设置不能通过所有样本测试，安全性大打折扣。

显示全部楼层 · 发表于 2011-10-4 11:04:52

本帖最后由 h8888 于 2011-10-4 11:30 编辑

黄智琛发表于 2011-10-4 08:17
全局禁运，各种压力都没了

全局禁运跟这个设置不同，很多样本测试都通过不了，V5系列的，一定要在进入exploere前拦截才行，否则，即使开沙盘往往也无济于事。

显示全部楼层 · 发表于 2011-10-4 11:28:46

这样用很痛苦的

[分享] 分享一个能拦截卡饭所有样本的规则制定方法

本帖子中包含更多资源

本帖子中包含更多资源