为啥这个程序无法运行啊，一直被阻止运行

zb8111

事件: 已阻止
应用程序: ChampR
用户: WIN-20220630CW4\Administrator
用户类型: 活动用户
组件: 漏洞利用防御
结果说明: 已阻止
类型: 木马
名称: PDM:Exploit.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Program Files\ChampR
对象名称: ChampR.exe
原因: 危险操作
数据库发布日期: 2022/8/12 5:26:00
SHA256: A6F6C8DADE318A3AAC115525D5B90EEFD3201C0250F7EC88AC025CBA49D2D426
MD5: CBFD9F431835EF658CD1812A112B4A3D




排除没效果啊，一直在阻止运行。
Kaspersky Endpoint Security for Windows 11.7.0.669版本的

Jirehlov1234

排除项里面保护组件把漏洞防御给勾上。
另外漏洞防御这个，不一定排除报的这个文件就行，可能还要排除这个行为中的其他相关文件。
排除完要关机再开机（不是重启）一次。

anxiety520

Jirehlov1234 发表于 2022-8-27 18:06
排除项里面保护组件把漏洞防御给勾上。
另外漏洞防御这个，不一定排除报的这个文件就行，可能还要排除这个 ...

他这个应该是英雄联盟出装符文的软件吧?为什么触发了SW呢?而且这个文件还是clean

Jirehlov1234

anxiety520 发表于 2022-8-27 10:59
他这个应该是英雄联盟出装符文的软件吧?为什么触发了SW呢?而且这个文件还是clean

可能某个行为命中了漏洞防御的规则吧，非常见途径提权/写文件/混淆命令行之类的，不知道

anxiety520

楼主样本发一下,我去跟技术支持聊聊

zb8111

anxiety520 发表于 2022-8-27 19:15
楼主样本发一下,我去跟技术支持聊聊

这个是单个文件，链接: https://pan.baidu.com/s/1zS1fSXTrIWPmCmy0MiZFIA 提取码: 7788

这是完整的安装包 https://github.com/cangzhang/champ-r/releases/

zb8111

Jirehlov1234 发表于 2022-8-27 18:06
排除项里面保护组件把漏洞防御给勾上。
另外漏洞防御这个，不一定排除报的这个文件就行，可能还要排除这个 ...

所有组件我都勾上了，“信任”跟“排除”我把整个文件夹及子文件也添加了

anxiety520

zb8111 发表于 2022-8-27 20:11
所有组件我都勾上了，“信任”跟“排除”我把整个文件夹及子文件也添加了

不是,他的意思是,你可能不只要排除该样本及其文件,你还要排除运行后的行为中涉及到的某些程序

anxiety520

楼主你这个需要下载lol才能使用的,鉴于虚拟机就不复现了，你可以暂时关闭漏洞防御，但建议像这类软件还是尽量不要使用   漏洞防御阻止未经授权的行为，如果你是个人版可以开交互来放行