查看: 2301|回复: 14
收起左侧

[讨论] 火绒自定义规则不监控创建吗

[复制链接]
zh630370
发表于 2018-9-20 10:32:09 | 显示全部楼层 |阅读模式
本帖最后由 zh630370 于 2018-9-20 11:01 编辑

之前电脑中毒,开机启动就生成exe文件,我想用火绒监控下是谁写入的,结果发现火绒没有一点反应,经过测试火绒不监控创建,病毒在自定义规则下,眼睁睁的创建了。https://bbs.kafan.cn/thread-2132137-1-1.html

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
晚风ono
发表于 2018-9-20 10:50:35 | 显示全部楼层
能把规则导出上传一下么
vm001
发表于 2018-9-20 10:56:13 | 显示全部楼层
你规则路径是%temp%
你确定那个文件会被创建到这个路劲下吗?
火绒工程师
发表于 2018-9-20 10:56:55 | 显示全部楼层
本帖最后由 火绒工程师 于 2018-9-20 11:00 编辑

您好,麻烦您将规则上传一下,我们这边测试一下,看是什么问题~
样本是在您发链接的帖子里是吧?您说之前电脑中毒,问题解决了嘛?没解决的话您加QQ:2087707659,我们再帮您看看~
zh630370
 楼主| 发表于 2018-9-20 11:06:54 | 显示全部楼层
本帖最后由 zh630370 于 2018-9-20 11:09 编辑
vm001 发表于 2018-9-20 10:56
你规则路径是%temp%
你确定那个文件会被创建到这个路劲下吗?

在这个文件下创建的,病毒已经清掉了

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
zh630370
 楼主| 发表于 2018-9-20 11:08:46 | 显示全部楼层
病毒已经清掉了
vm001
发表于 2018-9-20 11:27:31 | 显示全部楼层
zh630370 发表于 2018-9-20 11:06
在这个文件下创建的,病毒已经清掉了

A8EED4BF.tmp是不是随机命名的,你直接禁止创建写入
dffhost.exe就行了
zh630370
 楼主| 发表于 2018-9-20 11:34:08 | 显示全部楼层
本帖最后由 zh630370 于 2018-9-20 11:36 编辑
vm001 发表于 2018-9-20 11:27
A8EED4BF.tmp是不是随机命名的,你直接禁止创建写入
dffhost.exe就行了

不是随机,固定的,删除会再次创建,不知道是不是病毒创建的,反正在这个文件夹下,火绒不监控创建,监控读写,删除,dffhost.exe这个是随机命名
vm001
发表于 2018-9-20 11:59:38 | 显示全部楼层
zh630370 发表于 2018-9-20 11:34
不是随机,固定的,删除会再次创建,不知道是不是病毒创建的,反正在这个文件夹下,火绒不监控创建,监控 ...

C:\Users\19168\AppData\Local\Temp\*\*.exe
你把规则写成这样看行不
www-tekeze
发表于 2018-9-20 13:16:17 | 显示全部楼层
肯定可以监控创建,至于问题出在哪,有火绒官人和9楼大佬帮你解决就行。。
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-29 14:57 , Processed in 0.138310 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表