gdata行为防护报wmiprvse.exe

a256886572008

你把 gdata 的完整報告貼上來吧。

jamnn

a256886572008 发表于 2012-9-9 13:29
你把 gdata 的完整報告貼上來吧。

*** 进程 ***

进程: 4072
文件名: wmiprvse.exe
路径: c:\windows\syswow64\wbem\wmiprvse.exe

发行商：: Microsoft Windows
创建日期: 08/26/12 03:46:07
修改日期: 11/20/10 12:17:55

启动进程：: svchost.exe
发行商：: Microsoft Windows


*** 操作 ***

另一程序已打开此文件，进程无法继续。
程序正经过网络建立连接。
程序正在监听记录键盘输入。
程序已将文件保存在系统文件夹。
程序已创建或已操作可执行文件。


*** 隔离区 ***

下列文件被转入隔离区：

下列注册表项被删除：


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
规则版本： 3.1.6
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 64bit OS
BB Revision: 23441

C:\Windows\sysWOW64\wbem\wmiprvse.exe -Embedding
C:\Windows\system32\svchost.exe -k DcomLaunch

a256886572008

jamnn 发表于 2012-9-9 13:31
*** 进程 ***

进程: 4072

1.下次再遇到，你先選擇隔離他。

2.到系統目錄檢查wmiprvse.exe這個文件是否存在？

3.如果不在，就代表 gdata 的白名單出問題了。

------------------------
一般回滾類主防的設計是：
當有安全的文件被病毒給執行控制之後，只會被"結束進程"，而不是被"刪除文件"。

jamnn

a256886572008 发表于 2012-9-9 13:36
1.下次再遇到，你先選擇隔離他。

2.到系統目錄檢查wmiprvse.exe這個文件是否存在？

文件存在，这到底算不算误报呢

a256886572008

jamnn 发表于 2012-9-9 13:42
文件存在，这到底算不算误报呢

下次遇到這個時，你先開 process explore 檢查看看他的父進程是誰？

如果父進程是正常的，那就是誤報。

jamnn

a256886572008 发表于 2012-9-9 13:55
下次遇到這個時，你先開 process explore 檢查看看他的父進程是誰？

如果父進程是正常的，那就是誤報。 ...

好吧，下次遇到不知道要到猴年马月了……

threatfire

ESET 文件信誉

jamnn

threatfire 发表于 2012-9-9 14:00
ESET 文件信誉

那样我基本确定是误报了，毕竟用GDATA ESET 金山全盘扫都没扫出什么……