咖啡与ZAHIPS搭配的感受

老机子

最近迷上了咖啡，然后套用坛子上的规则！很强悍，病毒木马连一点机会都没有！我一直在样本区双击实验，发现几乎都过不了在TEMP释放临时文件这一关！就是有些小问题，有些规则似乎过于严格，我用了之后就关不了机，加为排除后，关机能关了！但又较慢！得个20几秒！
_昨晚心里又痒痒，看到ZAHIPS索性再安装上！互相添加了排除！开机关机似乎也正常啦！想不到啊！

勇者无敌

都禁运了就不要双击虐待病毒木马了

老机子

勇者无敌 发表于 2014-3-23 13:44
都禁运了就不要双击虐待病毒木马了

呵呵，我就是想说咖啡的这一规则定的非常严格！或者说也太死板！
——其他的HIPS如壳毛豆，火绒之类的！一般是警告提示！而MCAFEE 连给你释放的弹窗说明都不说！直接KO！

qftest

老机子 发表于 2014-3-23 14:19
呵呵，我就是想说咖啡的这一规则定的非常严格！或者说也太死板！
——其他的HIPS如壳毛豆，火绒之类的！ ...

VSE本来就属于单步禁运的预设规则，不能说死板，只能说没排除好的规则预设不合理
老机子你都不让7zip释放到temp运行，样本不能启动所以不能算是在测试规则，只是全局禁运

老机子

qftest 发表于 2014-3-23 16:36
VSE本来就属于单步禁运的预设规则，不能说死板，只能说没排除好的规则预设不合理
老机子你都不让7 ...

2014/3/23        16:31:10        已由访问保护规则禁止         FY-201403101826\Administrator        C:\Program Files\HaoZip\HaoZip.exe        C:\USERS\ADMINISTRATOR\DESKTOP\80000032.DLL        用户定义的规则:07 封锁dll        已阻止的操作: 创建
2014/3/23        16:31:10        已由访问保护规则禁止         FY-201403101826\Administrator        C:\Program Files\HaoZip\HaoZip.exe        C:\Users\Administrator\Desktop\80000032.dll        用户定义的规则:07 封锁dll        已阻止的操作: 创建
2014/3/23        16:31:10        已由访问保护规则禁止         FY-201403101826\Administrator        C:\Program Files\HaoZip\HaoZip.exe        C:\USERS\ADMINISTRATOR\DESKTOP\80000064.DLL        用户定义的规则:07 封锁dll        已阻止的操作: 创建
2014/3/23        16:31:10        已由访问保护规则禁止         FY-201403101826\Administrator        C:\Program Files\HaoZip\HaoZip.exe        C:\Users\Administrator\Desktop\80000064.dll        用户定义的规则:07 封锁dll        已阻止的操作: 创建
2014/3/23        16:38:06        已由访问保护规则禁止         FY-201403101826\Administrator        C:\windows\system32\taskhostex.exe        C:\Program Files\Internet Explorer\sqmapi.dll        用户定义的规则:03 管制系统_文件        已阻止的操作: 读取
——这个管制.dLL 挺残忍！反正我就是双击党，管他3721！

qftest

老机子 发表于 2014-3-23 16:41
2014/3/23        16:31:10        已由访问保护规则禁止         FY-201403101826\Administrator        C:\Program Files\HaoZip\H ...

哦哦，我瞎猜的以为是7zip
想测规则的话可以右键解压后再运行样本

老机子

qftest 发表于 2014-3-23 16:50
哦哦，我瞎猜的以为是7zip
想测规则的话可以右键解压后再运行样本

OK  稍等！

老机子

qftest 发表于 2014-3-23 16:50
哦哦，我瞎猜的以为是7zip
想测规则的话可以右键解压后再运行样本

http://bbs.kafan.cn/thread-1700972-2-1.html解压时出现的！ZA也报警了1

qftest

老机子 发表于 2014-3-23 17:03
http://bbs.kafan.cn/thread-1700972-2-1.html解压时出现的！ZA也报警了1

那个帖子里的taskhostex.exe与样本没有因果关系，所以不用贴出来的
另外测规则最好是在纯VSE环境下，以免受到其他安软的影响得不到完整的数据

老机子

qftest 发表于 2014-3-23 17:07
那个帖子里的taskhostex.exe与样本没有因果关系，所以不用贴出来的
另外测规则最好是在纯VSE环境下，以 ...

呵呵随便一复制，就多了！我才开始玩VSE，还是摸索阶段！总而言之，感觉很强大!ZA 主要是爱折腾，就想多装一个！目前还算稳定！