问一个关于网页反病毒的问题

yx464136869

本人小白 。 在样本区找了个网址在online armor的沙箱上用猎豹运行，无反应，但是把文本复制下来粘贴过来，刚保存就被报病毒，然后隔离这是什么情况？以前用kis直接提示有病毒就进不去啊。

hhh900

我看不懂你在描述什么问题，楼下继续研究。

yx464136869

hhh900 发表于 2013-8-29 18:57
我看不懂你在描述什么问题，楼下继续研究。

。。。 就是说 我在样本去找了个已经被标记是带有病毒的网站，然后自己用沙盒浏览了那个网站，但是emsisoft没有报，然后我把这段代码复制到了文本文档里面，一保存完就被emsisoft隔离了，我想知道这是为什么在浏览器里不阻止

hhh900

yx464136869 发表于 2013-8-29 19:04
。。。 就是说 我在样本去找了个已经被标记是带有病毒的网站，然后自己用沙盒浏览了那个网站，但是emsiso ...

EMA杀的是htm文件吧。我以前看过一个帖子比较EMA跟诺顿网页防御的，话说EMA是本地防御，不是卡巴或红伞或eset或比特那样的流量扫，更不是诺顿的isp。我觉得，在沙盒里运行毒网，毒网被虚拟化，htm文件没有进入实体机，所以EMA没有报。楼下继续研究下。

yx464136869

hhh900 发表于 2013-8-29 19:08
EMA杀的是htm文件吧。我以前看过一个帖子比较EMA跟诺顿网页防御的，话说EMA是本地防御，不是卡巴或红伞或 ...

那是否可以这样理解 病毒不进入实体机他就不会报毒，非要等下载下来了他才会有反应

烟花雨

你的杀毒软件不是流量扫描 所以不能扫描全局的流量
保存以后 进入内存 杀毒软件识别到 所以就出现这个情况

hhh900

yx464136869 发表于 2013-8-29 19:21
那是否可以这样理解 病毒不进入实体机他就不会报毒，非要等下载下来了他才会有反应

是的。

hhh900

烟花雨 发表于 2013-8-29 19:24
你的杀毒软件不是流量扫描 所以不能扫描全局的流量
保存以后 进入内存 杀毒软件识别到 所以就出现这个情况

没有进入内存，进入内存应该是妈妈图的行为报。只是在本地硬盘上，EMA的扫描报了。

yx464136869

hhh900 发表于 2013-8-29 19:35
没有进入内存，进入内存应该是妈妈图的行为报。只是在本地硬盘上，EMA的扫描报了。

ema不是流量扫描的话就是依靠他的黑名单和自身的查杀能力了？

hhh900

yx464136869 发表于 2013-8-29 19:42
ema不是流量扫描的话就是依靠他的黑名单和自身的查杀能力了？

扫描两个引擎，一个自家的一个是BD的；库更新得频率和量都是非常大的。过了扫描和黑白名单还有妈妈图啊，行为主防能防御绝大多数的恶意行为，不过需要EMA的网络平台和人脑的综合判断。AVC中的行为防御，看手动+自动，EMA的防护基本满分，比斗牛犬比趋势比卡巴都要高，虽然AVC也有内幕，但是还是可以作为参考的。