趋势主防问题

ccboxes

断断续续使用趋势很长时间了，也双击了不少样本，最近我越发怀疑趋势的主防是没有回滚的。在我的所有测试中，除了加密勒索会回滚被加密的文档图片（被加密的其他种类文件无法回滚），我没有见过趋势回滚任何注册表更改、衍生物。其注册表修复靠的是套用修复模板造成了广为诟病的显示隐藏文件问题，其效果也并不乐观，会有很多垃圾项。偶尔杀衍生物也是因为触发了关联扫描，因此双击病毒后总是在Appdata或者System32发现一堆残留文件。

另一个问题是所有测试样本的检测方式都是未经授权的更改，再联想到断网趋势糟糕的效果，是否可以认定趋势的主防与360相同，为单步主防？实际上我在使用趋势时总是想到360，其查杀方式实在很像，区别无非是趋势更安静，默认阻止更多。



诸位是否曾见过趋势在检测样本时，通过多步行为检测到病毒，并回滚其更改？

bbszy

貌似出现过关联性分析回滚带有流氓软件的安装包

ccboxes

bbszy 发表于 2017-6-10 14:37
貌似出现过关联性分析回滚带有流氓软件的安装包

关联扫描我也触发过，与回滚是完全不同的概念。

现在有真正意义上回滚的似乎就只有卡巴，诺顿，GData。

超超~.~

所以我又用回了老司机。。。。

ccboxes 发表于 2017-6-10 19:57
关联扫描我也触发过，与回滚是完全不同的概念。

现在有真正意义上回滚的似乎就只有卡巴，诺顿，GData ...

国外的
蜘蛛DPH似乎可以回滚一部分操作
AVG的IDP也是带回滚的（不过现在被avast收购后整合效果不太理想）
BullGuard的主防也带回滚
国内的
微点，这个基本已经死了
费尔，这个也基本已经死了（长期不更新框架和规则，导致误报大量增加，回滚效果也大不如前）

欧阳宣

你有出现过HEUR_AEGISXXXXXXXX的报法么

那是明确的主防定义，有可能会在那些报法下出现回滚

ccboxes

欧阳宣 发表于 2017-6-11 02:41
你有出现过HEUR_AEGISXXXXXXXX的报法么

那是明确的主防定义，有可能会在那些报法下出现回滚

AEGIS出现过很多次，不过还没见过触发回滚。我感觉很奇怪啊，为什么需要特定的定义才能触发回滚，平常的“未经授权的更改”就不能回滚，照理说不该有技术上的问题啊。

ccboxes

霄栋 发表于 2017-6-11 02:00
国外的
蜘蛛DPH似乎可以回滚一部分操作
AVG的IDP也是带回滚的（不过现在被avast收购后整合效果不太理想 ...

DPH也是只能回滚被加密的文件，操作回滚不了。更别提很多情况下都是单步杀，这种情况下会留下大量残余。

IDP我忘掉了，的确也是带回滚的。

BG、微点、费尔没用过。但所谓框架规则不更新应该完全不会影响回滚，我想费尔应该也是套用通用修复模板。