发现G DATA一个有趣的行为

记录微笑

只要我通过IDM用UltraISO打开一个ISO文件，选择UltraISO“工具”里的“制作光盘映像文件”，没过几秒G DATA就会把IDM识别为恶意软件并回滚。
附上回滚日志以及图片。


=============以下为日志=================================

AVA 25.18237
GD 25.13042

*** 进程 ***

进程: 4832
文件名: IDMan.exe
路径: d:\program files (x86)\idm\idman.exe

发行商：: 未知发行商
创建日期: 2018年8月14日 10:00:45 上午
修改日期: 2018年7月10日 10:21:56 下午

发行商：: 未知发行商


*** 操作 ***

程序正试图建立自启动项，以在系统启动时自动运行。
程序正经过网络建立连接。
一个未知进程访问了。
程序已创建或已操作可执行文件。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\XX\AppData\Local\Temp\Ultra$ISO\~BI1187.tmp
C:\Users\XX\AppData\Local\Temp\Ultra$ISO\~BI1188.tmp
C:\Users\XX\AppData\Local\Temp\Ultra$ISO\~BI6951.tmp
C:\Users\XX\AppData\Local\Temp\Ultra$ISO\~BI6952.tmp
C:\Users\XX\AppData\Roaming\IDM\Scheduler\q_1.dt
C:\Users\XX\AppData\Roaming\IDM\cnlurllist.dat
C:\Users\XX\AppData\Roaming\IDM\defextmap.dat
C:\Users\XX\AppData\Roaming\IDM\proxy.pac
C:\Users\XX\AppData\Roaming\IDM\urlexclist.dat
C:\Users\XX\AppData\Roaming\QMLogEx\log.ini
C:\Users\XX\Downloads\Compressed\蜗牛.rar
C:\Users\XX\Downloads\Compressed\蜗牛_2.rar
D:\Program Files (x86)\IDM\IDMan.exe
D:\Program Files\sw\sqlite3.dll
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e8-9c-97-e7-89-9b_376\-e8-9c-97-e7-89-9b.rar
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e8-9c-97-e7-89-9b_376\-e8-9c-97-e7-89-9b_376.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e8-9c-97-e7-89-9b_377\-e8-9c-97-e7-89-9b_377.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e8-9c-97-e7-89-9b_378\-e8-9c-97-e7-89-9b.rar
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e8-9c-97-e7-89-9b_378\-e8-9c-97-e7-89-9b_378.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e8-9c-97-e7-89-9b_379\-e8-9c-97-e7-89-9b_379.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_380\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_380.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_381\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_381.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_382\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_382.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_383\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6.rar
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_383\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_383.log
c:\users\XX\appdata\roaming\idm\dwnldata\XX\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_384\-e9-80-a0-e6-a2-a6-e8-a5-bf-e6_384.log

下列注册表项被删除：


YHLC+MByknKCcnLQcpLYcpLXcnIGLiencnIoJwinQicndHJiYnArJycnJyYG6HJycnJiYpArJ4iQLScH6XJyJyYmJ3egLSdoKSdoKCcH23KiYmJyosAqJy0nLSYG/HLCcoJyotAmJ2diYnJyBo9ywmJicsJwp3JycLhyciYmJidncNhygnJycnJwuqLBXGPGcigZzzVmLCcazDVmLHdw23KicoJygnCdcnImJiYnZ3COcoJwf3LycvJiYnCPcoJwn3KSxnKSxmJicP9y0nKycoKAlnKCB3gpJwi4LydncnImJgbYKCcoJiYnCNgpJygmJicI2C4nJycnJgboKidogL5ygiYmJidoAAA
规则版本： 5.0.149
OS: Windows 6.3 Service Pack 0.0 Build: 9600 - Workstation 64bit OS
DLL版本： 73031

"D:\Program Files (x86)\IDM\IDMan.exe" /onboot
MD5: 8D57A55535F7B6276B5422E90A9B79AC

Agu

ISO檔是乾淨的嗎？

DF快递

之前 sep 也是这样，在论坛样本区下载附件，也会把IDM隔离掉。不过最新版已经修复了