火绒主防用文件名？

显示全部楼层 · 发表于 2014-1-27 17:58:34

样本地址
http://bbs.kafan.cn/thread-1681825-1-1.html

运行里面的一个样本火绒弹窗

这个确实防御了，可是我们将样本的名字fax.pdf.exe去掉fax再运行看看，火绒哑火了，如果开启程序联网控制就不断提示联网了

显示全部楼层 · 发表于 2014-1-27 18:22:42

本帖最后由 china_killer 于 2014-1-27 18:26 编辑

从用户收集到一些攻击案例:

下载的文件: 美女.avi.exe 帅哥.doc.exe

利用系统默认不显示已知扩展名..文件看起来好像是:美女.avi 来欺骗用户误点击..

火绒的扫描引擎不报,行为分析也没有相应分析出威胁的情况,就要看系统加固里的防御规则会不会触犯了.

在系统加固的病毒免疫规则里,确实有针对 "欺骗性文件名"设置的...

最后:
遇到火绒杀毒引擎不报,防御不拦截的欢迎给我们提交样本我们会继续努力完善滴.

[快放假了,预祝大家春节假期愉快]
谢谢

显示全部楼层 · 发表于 2014-1-27 18:25:53

china_killer 发表于 2014-1-27 18:22
从用户收集到一些攻击案例:

下载的文件: 美女.avi.exe 帅哥.doc.exe

嗯，说起这个，我得提一句，程序联网控制这个火绒应该有一套内置规则，什么程序可以联网，什么需要询问，这样才能在防御和易用上找一个平衡点，现在是开启以后要么泡泡太多，要么啥也没拦截

显示全部楼层 · 发表于 2014-1-27 18:28:46

vm001 发表于 2014-1-27 18:25
嗯，说起这个，我得提一句，程序联网控制这个火绒应该有一套内置规则，什么程序可以联网，什么需要询问， ...

确实,应用联网控制内置规则的平衡比较麻烦..

已经在收集案例..分析看看能不能有比较好的解决方法了..之前的直接放过签名太武断了,所以一直没调整

显示全部楼层 · 发表于 2014-2-10 20:19:13

为了看见内容，回复一下也值得啊

[分享] 火绒主防用文件名？

本帖子中包含更多资源

评分