对中国现在难出卡巴斯基这样的杀毒神器有不同意见

Wesly.Zhang

对于回滚的问题，需要分两种情况：

1，机器干净，首次运行病毒，拦截并回滚；
2，机器已染毒，AV更新病毒库后检测样本，进行回滚。

这两个的回滚对系统而言，前者能够较为清楚的清除所有衍生物，而后者所产生的回滚就不能够清除所有衍生物，而只能够清除与内存中活动威胁有关的衍生物，回滚后会留一些malware配置文件以及非活动PE文件。

卡巴斯基对于后种情况的问题，有一个特殊的模块增设到了 2013 产品里面以及 2012 的产品补丁中。

关于白加黑的问题是仁者见仁，智者见智了。AVP 的 Application Control 功能是智能的，所谓的智能在 AVP 看来是基于以下三个条件，检查三个条件的匹配程度来自动选择相应的程序分组：

双击运行程序

流程1，HIPS小扫程序是否是已知威胁？是，直接进入不信任组并停止运行进行回滚。否，进入流程2
流程2，是否包含有效数字签名？查询KSN有无列黑数字签名，如果匹配则提示用户，数字签名正常的查询 KSN 程序分配需分配至哪个分组，如果 KSN 没有特殊意见的，进入 受信任组 。至此已完结。
流程3，如果程序没有数字签名，则查询 KSN ，该程序是否是已知受信任组的，如果存在规则匹配，按照 KSN 分组进行分组，如果没有匹配规则，进入流程4
流程4，默认30秒模拟器启发分析，CPU占用升高，最新的模拟器有降低CPU占用，启发分析30秒后，无结果的，进入 低限制组 ，如果风险比例高的进入 高限制组 限制运行（交互保护模式下有效）。

sam__天涯

Wesly.Zhang 发表于 2012-9-18 22:24
对于回滚的问题，需要分两种情况：

1，机器干净，首次运行病毒，拦截并回滚；

卡巴的主防也是多步加回滚么。染毒后，卡巴的修复确实强。

jefffire

Wesly.Zhang 发表于 2012-9-18 22:24
对于回滚的问题，需要分两种情况：

1，机器干净，首次运行病毒，拦截并回滚；

从流程上 看不出回滚需要应用在哪儿.

jefffire

sam__天涯 发表于 2012-9-18 22:28
卡巴的主防也是多步加回滚么。染毒后，卡巴的修复确实强。

四个流程全部在实际运行前作用 根本不需要回滚

落寞V大

shensuan11 发表于 2012-9-17 19:29
给个卖激活码的地址

还需要买？激活工具一大堆～～

sam__天涯

jefffire 发表于 2012-9-18 22:47
四个流程全部在实际运行前作用 根本不需要回滚

额姐夫大神，卡巴也是主防只让病毒先运行半步，无毒才放行？但有人说卡巴机器干净，首次运行病毒，拦截并回滚啊。

jefffire

sam__天涯 发表于 2012-9-18 22:55
额姐夫大神，卡巴也是主防只让病毒先运行半步，无毒才放行？但有人说卡巴机器干净，首次运行病毒，拦截并 ...

你看那四个流程,样本并没有实际运行.
双击样本 就是explorer运行样本程序,卡巴hook了相关函数后可以在参数命令实际传递给系统之前就截取 ,所以不是运行半步,而是根本就没运行.只有卡巴处理完以后才会传递给系统继续处理.

magicface

用了一年多金山毒霸，感觉云安全已经很靠谱了，刚换了趋势2013，居然还查出几个毒来，感觉有云的话应该能解决水土不服的症状。

sam__天涯

jefffire 发表于 2012-9-18 22:59
你看那四个流程,样本并没有实际运行.
双击样本 就是explorer运行样本程序,卡巴hook了相关函数后可以在参 ...

360也是这样的么？

diayy

国外是先做好产品经济效益随之而来，国内是什么赚钱模仿什么做什么，无核心技术。
这一正一反的差别就是天与地的差别。