5.8 可以攔截 病毒修改文件隱藏屬性了。

accordion

a256886572008 发表于 2011-10-21 15:50
你是在問  那個 fake av 還是 GPcode  ?

有两个？- -

这个链接传送过去的是fake av？


我记得你以前好像和我说过，修改文件属性有两种，一种是调用Attrib，另一种是直接修改文件吧..

还有那个\Device\KsecDD我记得好像每个程序都要调用的

a256886572008

accordion 发表于 2011-10-21 15:53
有两个？- -

这个链接传送过去的是fake av？

1.原來，你是在問 fake av

2.是調用attrib.exe隱藏文件的 fake av(包含全局刪除特定格式的文件)

3.是的

4.\Device\KsecDD，我後來才發現，這東西只能攔截 GPcode，其他根本無法攔截，等同 沒用的規則。

GPcode 病毒，是指  全局加密所有文件(非可執行文件)，恐嚇用戶，匯錢取密碼。

5.到最後，還是用  "?:\*  搭配 部份限制" 才能有效防禦這些破壞型病毒。

accordion

a256886572008 发表于 2011-10-21 16:29
1.原來，你是在問 fake av

2.是調用attrib.exe隱藏文件的 fake av(包含全局刪除特定格式的文件)

attrib也可以来删除文件...原来是这样

加密....不也是要修改文件？

难道只修改通道就可以达到效果？就像lsass一样？

a256886572008

accordion 发表于 2011-10-22 12:34
attrib也可以来删除文件...原来是这样

加密....不也是要修改文件？

1.我是沒看過  attrib.exe 刪除文件

2.是會修改的

3.那個 KsecDD 只能攔截  加密，而且每個程序都會彈，一點也不實用。

不如用 ?:\*

accordion

a256886572008 发表于 2011-10-22 22:51
1.我是沒看過  attrib.exe 刪除文件

2.是會修改的

明白

chncwk

对疯狂模式而言，加上这条会很蛋疼。