VSE8.8p7 默认规则拦截创建执行文件的不同形态

柯林

ly910326 发表于 2016-3-13 14:59
可能我们对规则的理解和vse产品手册的说明注释有偏差。

这个问题一直是这样的吧——理解的偏差与理念的偏执

对于玩规则的人来说，基本上都当杀毒组件是“空气'了，眼里只有规则，希望规则可以包打天下，最好能够任意双击病毒而屁事没有（实际上无法做到），这样的意识已经存在很多年且互相传染

对麦咖啡厂家来说显然不是这样，VSE只是其防毒阵线中的一个组件，在个人用户看来那些很“厉害'的病毒要想穿过麦咖啡的防线进入VSE提供保护的计算机，并不容易，很多东西，没达到阵地，就被拦截了。所以站在官人的角度看，问题不大，真到了病毒爆发肆虐的时候，保证VSE不被干掉，保证系统重要文件与设置不被更改，能够封锁病毒网络传播的加以封锁，然后实验室赶快分析出专杀就完事

规则用家一般不会这样去看和理解，有漏洞就等于高危事件，这也是可以理解的

墨家小子

qftest 发表于 2016-3-13 14:51
顺便召唤样本小达人过来
@墨家小子
墨家，以后如果发现有替换windows系统dll的样本请PM下，谢谢

有没有工钱？免费的吗？

qftest

ly910326 发表于 2016-3-13 14:59
可能我们对规则的理解和vse产品手册的说明注释有偏差。

有没有主楼涉及的规则的官方详解？

qftest

柯林 发表于 2016-3-13 15:15
这个问题一直是这样的吧——理解的偏差与理念的偏执

对于玩规则的人来说，基本上都当杀毒组件是“空气 ...

说实在的，我比较注重实战，理论上比较欠缺
另外，谁的规则可以打天下？让他PM我，随便给他几个样本让他哭出来

qftest

墨家小子 发表于 2016-3-13 16:59
有没有工钱？免费的吗？

真聪明，的确是免费的

柯林

qftest 发表于 2016-3-13 19:26
说实在的，我比较注重实战，理论上比较欠缺
另外，谁的规则可以打天下？让他PM我，随便给他 ...

这个，就让你们去玩了，呵呵
个人时间精力有限，测试偶尔为之，了解下新流行的究竟有啥不同就行了，毕竟主业跟病毒安防不沾边，普通用家，了解些基本常识，够加强下防御就满足，要求不高

ly910326

qftest 发表于 2016-3-13 19:23
有没有主楼涉及的规则的官方详解？

qftest

ly910326 发表于 2016-3-13 22:02

这个文档只是简介而非技术详解，尽管如此还是谢谢提供分享
主楼涉及的规则在文档p15 3908/3909，只是简单介绍了规则的作用与排除建议，仅此而已
“Prevent creation of new executable files in the Windows folder”
A common hiding tactic for adware, spyware, Trojans, and viruses, is to place their files in the Windows
directory. You should add processes that have a legitimate need to place files in the Windows directory
to the exclusions list. This rule will stop the addition of executable files to the Windows folder.
Intention: Viruses and Trojans often copy themselves to the Windows directory, hoping to hide among
the list of files there with odd names. These rules prevent files being created by any process, not just
from over the network. This rule prevents creation of .EXE and .DLL files in the Windows directory.
Risk: These rules will disable many software installers.
Included processes: all
Excluded processes:  Installers, Windows update
ID and name in Host IPS:
3908, Access Protection—Prevent creation of new executable files in the Windows folder.

“Prevent creation of new executable files in the Program Files folder”
Intention: This rule prevents creation of .EXE and .DLL files from adware and spyware installing new
executable files in the Program Files directory. It can stop new software installations if not launched from
one of the excluded processes.
Risk: McAfee recommends that you either install applications prior to enabling this rule, or place the
blocked processes in the exclusion list.
ID and name in Host IPS:
3909, Access Protection—Prevent creation of new executable files in the Program Files folder.

柯林

你再试下，看看是不是WD的拌腿？组策略关闭WD

qftest

柯林 发表于 2016-3-16 13:20
你再试下，看看是不是WD的拌腿？组策略关闭WD

这个疑似规则漏洞，与WD何干？两者根本毫无关系
首先VSE安装后会自动接管WD，其次就算手动组策略关闭WD表现仍然一致