简单粗暴文件控

显示全部楼层 · 发表于 2019-3-5 09:35:53

勒索，主要动作是FD操作，只要杀软带FD功能控制，应该很好防御。比如说，简单粗暴的防御思维——禁止写入带后缀的文件

以D盘为例，假设你没有把虚拟内存挪到D盘，一条规则就可以简单防御：禁止任何程序对D:\*.*创建、写入（排除explorer）
在没有被注入explorer的情况下，以及病毒没有加驱的情况下，通常是没有病毒可以改写D盘文件的（如果求把稳，连带恶意删除文件的病毒一起防御，那就加上禁止删除的动作）

同样的原理，如果机子上还有其他非系统盘，一样的写上规则；如果喜欢把文件放在桌面，对桌面也写上同样的规则（坏处是影响安装程序创建快捷方式到桌面，需要临时禁用）；图片与我的文档（可能需要排除电邮与聊天工具）也写上。

方法很简单，原理很粗暴，效果应该不错（对于不加驱的病毒应该防御有效）
为了系统更新顺畅，以及不要自惹麻烦（死机、蓝屏），最好不要对系统盘做类似规则

这样简单写几条，被保护的地方，通常是被防护得很好的，文件破坏型的病毒很难搞事。
注意事项：1、通配符的用法，假设D:\*.*被定义为D盘根目录下的带后缀文件，可能需要D:\**.*或D:\**\*.*的写法
2、变通事项，假设你要用程序直接操作被保护的文件，而程序需要在临近位置创建临时文件，可能失败，变通方法，一个是加例外，一个是在系统盘上找个位置，把文件在该位置里进行操作，完毕后再移动到保护磁盘上存放。

显示全部楼层 · 发表于 2019-3-5 12:17:30

目前套装还是ESET能设置防注入explorer控制父进程。

显示全部楼层 · 发表于 2019-3-5 17:25:21

通配符是森马....我不会！换个简单点的，抢在勒索前面删光文件，这样勒索就无法勒索你了，同理也可以用在病毒防护上，删光所有重要文件，让病毒木马无文件破坏，无东西可偷！家用最重要的文件是我和大叔的那个夏天一起吃西瓜，吐瓜子醒了，原来是场梦，并我不喜欢吃西瓜，大叔的脸忘记了.txt~

姐姐何不试试看疯10自带的那个防勒索功能呢？你玩一玩嘛，试一试嘛，好不好嘛~出个专业评测啊啥的，我延时一定捧场~
每个保险的方法都要用到第二个盘或者移动盘厚，看来没钱必中标了....

顺便问下，COMODO沙盒可防吗？

显示全部楼层 · 发表于 2019-3-5 18:11:14

搜狗五笔注入了explorer五个库。。

Windows 7系统。

显示全部楼层 · 发表于 2019-3-5 18:31:50

这样的软件有火绒,ESET, 杀毒软件就2个吧,
对了,瑞星也可以.

显示全部楼层 · 发表于 2019-3-5 18:50:37

用了OSArmor火力全开配搭ESET还要用这条规则么

显示全部楼层 · 发表于 2019-3-5 19:59:51

本帖最后由 HEMM 于 2019-3-5 20:01 编辑

mak999 发表于 2019-3-5 18:50
用了OSArmor火力全开配搭ESET还要用这条规则么

看个人咯，你认为文件重要就弄，越强的规则，用起来也就........需要精细化以及符合自己的环境和使用习惯，照搬的结果会让自己很抓狂的
OSArmor英文的咧......中文版不知道要等到什么时候......我等.....等粗来了我就玩玩看......
分享规则和防护方法的人，往往只是提供一个思路，不是要你完全照搬.............

显示全部楼层 · 发表于 2019-3-5 20:03:41

就应为这点，才看上eset

显示全部楼层 · 发表于 2019-3-5 21:44:55

https://bbs.kafan.cn/thread-2143520-1-1.html

我自己的思路

对重点保护目录（如用户文档）下特定文件格式（.doc, .xls...）的双后缀的创建进行监视，配合部分后缀排除（如.lnk, tmp），能实现低误报高拦截率的单步勒索防御

显示全部楼层 · 发表于 2019-3-5 22:36:28

191196846 发表于 2019-3-5 21:44
https://bbs.kafan.cn/thread-2143520-1-1.html

我自己的思路

你懂的可真多儿~还会写诗！感谢酒姐分享，学习了。
考虑再出个防流氓程序的规则吧，感觉大家似乎都很需要的，毕竟是最易中标的类型~

[讨论] 简单粗暴文件控

评分