关于隔离区样本还原后再次扫描检测会被自动排除的解决方案

ANY.LNK

问题：

出于某些原因，我们会还原Defender隔离区中的威胁，但此后再次扫描该威胁时发现已经被自动排除，且不显示在信任区中。






这是因为微软方面为防止反复报告同一威胁所设置的临时排除项机制（之前还原又很快被再次删除引发了不少用户的不满），一般会在重启或下次更新时自动删除，但如果需要立即检测并删除此威胁，则需要对注册表中临时排除项进行操作。

解决方案：

用注册表编辑器定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\TemporaryPaths（注意，此项虽不在篡改保护的防护范围内，但普通管理员权限的注册表编辑器无法对此项进行更改，需要提权。建议TrustedInstaller权限）

找到之前还原的文件路径+名称的DWORD（32位）值，删除即可恢复对还原样本的检测。

wwwab

还真遇到过

之前帮别人远程有人问过我这个问题，是不是病毒把wd给突破了，我觉得是正常现象吧，看来是实锤了

ANY.LNK

wwwab 发表于 2022-7-18 11:43
还真遇到过

之前帮别人远程有人问过我这个问题，是不是病毒把wd给突破了，我觉得是正常现象吧，看 ...

我之前见过有不少人骂微软说Defender还原误报了跟没还原一样，还原回去立马又删了，之后应该是微软觉得收到的负面反馈太多就改了机制