红伞监控报毒与扫描报毒，出现报发不一样

诸葛亮

碰到过红伞监控和扫描报发不一样的情况。
以下是刚才遇到的，解压一样本后，红伞监控报TR/Agent.195095 [trojan，但是右键扫描时红伞报的是'TR/Crypt.Xpack.97847' [trojan。
两者报发不一样，以前也有遇到过这种情况。前些天也遇到过这种情况：扫描不杀，但是监控却杀了（扫描选项勾选了所有威胁，且是高启发）。
如图


样本地址（测试有风险，需谨慎 http://bbs.kafan.cn/thread-1814673-1-1.html


@aaa839 @zandalong @明月丶舞白衣 @fireold

明月丶舞白衣

难道小红伞监控和扫描机制不一样？

诸葛亮

明月丶舞白衣 发表于 2015-3-8 22:11
难道小红伞监控和扫描机制不一样？

真是越来越搞不懂红伞了。曾经还出现过样本不用双击就触发APC的情况，重启电脑后又变成必须双击才触发APC。真是搞不明白红伞

明月丶舞白衣

诸葛亮 发表于 2015-3-8 22:23
真是越来越搞不懂红伞了。曾经还出现过样本不用双击就触发APC的情况，重启电脑后又变成必须双击才触发APC ...

跟网络有关？

诸葛亮

明月丶舞白衣 发表于 2015-3-8 22:39
跟网络有关？

不是，我这网络一直很好，可能和APC的检测机制有关

aaa839

诸葛亮 发表于 2015-3-8 22:23
真是越来越搞不懂红伞了。曾经还出现过样本不用双击就触发APC的情况，重启电脑后又变成必须双击才触发APC ...

不用雙撃就可以觸發apc是因為Kernel Sensor(Update 8)會更頻繁

應該是程式bug,如果使用beta版請向avira 匯報

不過我需要該樣本,請提供連結

fireold

確實如樓主所說，這種情形我還是第一次看到…

解壓即殺→

2015/3/9 上午 08:11 [Real-Time Protection] 發現惡意程式碼
      在檔案 'C:\Users\vpn\Desktop\86lkL2Xpxa.exe 中
      偵測到病毒或有害的程式 'TR/Agent.195095 [trojan]'
      執行的動作：拒絕存取

掃描殺→

2015/3/9 上午 08:14 [System Scanner] 發現惡意程式碼
      檔案 'C:\Users\vpn\Desktop\86lkL2Xpxa.exe'
      包含病毒或有害的程式 'TR/Crypt.Xpack.97847' [trojan]
      已採取動作：
      檔案會移動至 '53454481.qua' 名稱底下的隔離區目錄!

2015/3/9 上午 08:14 [System Scanner] 掃描
      掃描結束 [已完成全部的掃描.]。
      檔案數：        3
      目錄數：        0
      惡意程式碼數：        1
      警告數：        1

诸葛亮

aaa839 发表于 2015-3-9 01:25
不用雙撃就可以觸發apc是因為Kernel Sensor(Update 8)會更頻繁

應該是程式bug,如果使用beta版請向av ...

我用的不是测试版，是从官网下载的英文正式版。具体样本链接已经找不到了，是前些天出现的APC 不用双击，就杀，不过重启电脑后就再也没有出现了。

诸葛亮

aaa839 发表于 2015-3-9 01:25
不用雙撃就可以觸發apc是因為Kernel Sensor(Update 8)會更頻繁

應該是程式bug,如果使用beta版請向av ...

我以前也遇到过这种情况 ，这是我以前发的帖子。当时你也没有给出具体原因

诸葛亮

aaa839 发表于 2015-3-9 01:25
不用雙撃就可以觸發apc是因為Kernel Sensor(Update 8)會更頻繁

應該是程式bug,如果使用beta版請向av ...

以前我也遇到过这种情况，当时你也没有给出具体原因，这是我以前发的帖子。
http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1796987&mobile=2