火绒自定义规则不监控创建吗

显示全部楼层 · 发表于 2018-9-20 10:32:09

本帖最后由 zh630370 于 2018-9-20 11:01 编辑

之前电脑中毒，开机启动就生成exe文件，我想用火绒监控下是谁写入的，结果发现火绒没有一点反应，经过测试火绒不监控创建，病毒在自定义规则下，眼睁睁的创建了。https://bbs.kafan.cn/thread-2132137-1-1.html

显示全部楼层 · 发表于 2018-9-20 10:50:35

能把规则导出上传一下么

显示全部楼层 · 发表于 2018-9-20 10:56:13

你规则路径是%temp%
你确定那个文件会被创建到这个路劲下吗？

显示全部楼层 · 发表于 2018-9-20 10:56:55

本帖最后由火绒工程师于 2018-9-20 11:00 编辑

您好，麻烦您将规则上传一下，我们这边测试一下，看是什么问题~
样本是在您发链接的帖子里是吧？您说之前电脑中毒，问题解决了嘛？没解决的话您加QQ：2087707659，我们再帮您看看~

显示全部楼层 · 发表于 2018-9-20 11:06:54

本帖最后由 zh630370 于 2018-9-20 11:09 编辑

vm001 发表于 2018-9-20 10:56
你规则路径是%temp%
你确定那个文件会被创建到这个路劲下吗？

在这个文件下创建的，病毒已经清掉了

显示全部楼层 · 发表于 2018-9-20 11:08:46

病毒已经清掉了

显示全部楼层 · 发表于 2018-9-20 11:27:31

zh630370 发表于 2018-9-20 11:06
在这个文件下创建的，病毒已经清掉了

A8EED4BF.tmp是不是随机命名的，你直接禁止创建写入
dffhost.exe就行了

显示全部楼层 · 发表于 2018-9-20 11:34:08

本帖最后由 zh630370 于 2018-9-20 11:36 编辑

vm001 发表于 2018-9-20 11:27
A8EED4BF.tmp是不是随机命名的，你直接禁止创建写入
dffhost.exe就行了

不是随机，固定的，删除会再次创建，不知道是不是病毒创建的，反正在这个文件夹下，火绒不监控创建，监控读写，删除，dffhost.exe这个是随机命名

显示全部楼层 · 发表于 2018-9-20 11:59:38

zh630370 发表于 2018-9-20 11:34
不是随机，固定的，删除会再次创建，不知道是不是病毒创建的，反正在这个文件夹下，火绒不监控创建，监控 ...

C:\Users\19168\AppData\Local\Temp\*\*.exe
你把规则写成这样看行不

显示全部楼层 · 发表于 2018-9-20 13:16:17

肯定可以监控创建，至于问题出在哪，有火绒官人和9楼大佬帮你解决就行。。

[讨论] 火绒自定义规则不监控创建吗

本帖子中包含更多资源

本帖子中包含更多资源