拦截敲诈者病毒，360公司官人来看看啊！

显示全部楼层 · 发表于 2015-5-4 21:35:32

亡灵之月发表于 2015-5-4 21:32
搜了下，有信誉云

云是360解决qvm超高误报的一大神奇
也是避免单步hips弹窗过多的好方法

显示全部楼层 · 发表于 2015-5-4 22:07:57

亡灵之月发表于 2015-5-4 20:33
保护所有文件不被修改，不现实，即便有云白名单，也会弹死
检测所有dll好像也不现实，前段时间的白加黑不 ...

用cis去入沙入沙

显示全部楼层 · 发表于 2015-5-4 22:12:42

考虑模仿一下微点的注入策略，随便啥exe都给注入一个dll得了

显示全部楼层 · 发表于 2015-5-5 00:03:14

回帖围观你。。

显示全部楼层 · 发表于 2015-5-5 20:22:08

真正的解决办法是系统转变为IPHONE那样的机制，每个软件有独立的沙盘空间。

你1L说的方法，涉及到大量的工作，要给所有软件的DLL加白名单，不现实。
普通用户根本就没有“这个程序是好还是坏，可以相信还是不可以相信的"的概念，弹窗都弹死

显示全部楼层 · 发表于 2015-5-5 20:25:42

tuw 发表于 2015-5-5 20:22
真正的解决办法是系统转变为IPHONE那样的机制，每个软件有独立的沙盘空间。

你1L说的方法，涉及到大量的 ...

其实用户手上也没有那么多软件去读取文档，只有系统应用才会去修过写入文档，这个很好识别的。就算有新的DLL，那也是少数人使用，而这少数人往往是发烧友，他们有识别能力的。

显示全部楼层 · 发表于 2015-5-5 20:37:52

a2120258 发表于 2015-5-5 20:25
其实用户手上也没有那么多软件去读取文档，只有系统应用才会去修过写入文档，这个很好识别的。就算有新 ...

信誉度低的程序运行时强制进入sandboxie环境也是可以考虑的。

显示全部楼层 · 发表于 2015-5-6 10:38:28

a2120258 发表于 2015-5-5 20:25
其实用户手上也没有那么多软件去读取文档，只有系统应用才会去修过写入文档，这个很好识别的。就算有新 ...

谢谢楼主建议. 思路是对的. 和我们目前的做法类似.
但仅用"认识的wps office"等程序作为筛选条件不符合实际情况, 如楼上有人解释的, 系统中的行为不仅仅是看到的那样, 其他进程也会修改文档. 作为安全软件, 不仅仅得考虑拦截, 还要考虑不打扰用户正常使用.

显示全部楼层 · 发表于 2015-5-6 10:54:14

360主动防御发表于 2015-5-6 10:38
谢谢楼主建议. 思路是对的. 和我们目前的做法类似.
但仅用"认识的wps office"等程序作为筛选条件不符合 ...

对于陌生的程序，360可以通过云来判断，云判断不出来，就让用户来选择，并提醒可能是敲诈者病毒，对于认识程序，用户一般会允许，对于不认识的程序或组件，用户就可能会拒绝。而是在拦截库里生成规则并上报360，这样极大的保护了文档的安全性。就如当初的瑞星防火墙2005的交易模式，在交易模式下任何程序的dll只有通过放行才能注入。还有对于未知程序，可以提醒用户入沙箱。

显示全部楼层 · 发表于 2015-5-9 22:47:51

360主动防御发表于 2015-5-6 10:38
谢谢楼主建议. 思路是对的. 和我们目前的做法类似.
但仅用"认识的wps office"等程序作为筛选条件不符合 ...

说到这。不知360是否可以给S大一点时间，让他更新一下MD。
MJ当年帮问说会更，可惜没有下文了。

[问题反馈] 拦截敲诈者病毒，360公司官人来看看啊！