应该是McAfee R107安装包

hansyu

微信 发表于 2023-3-30 21:04
小企业版才支持10设备。

看上去下个月正式推R108有非常大的希望。
RP动态引擎更新得好频繁，几乎一周更新一次。但用样本区样本测试没感觉到有什么提升？

微信

hansyu 发表于 2023-3-30 21:08
看上去下个月正式推R108有非常大的希望。
RP动态引擎更新得好频繁，几乎一周更新一次。但用样本区 ...

感觉咖啡的RP面对JS/PS/VBS有点弱，而且不给用户参与感呀，全都是没选项，感觉很不人性化

一般检测率倒是还可以

hansyu

微信 发表于 2023-3-30 21:20
感觉咖啡的RP面对JS/PS/VBS有点弱，而且不给用户参与感呀，全都是没选项，感觉很不人性化

一般 ...

上周用脚本测有触发一个RP的suspectpowershell的检测，剩下的脚本几乎只能依靠AMSI。
另外，RP的静态模型包括脚本模型已经有两个多月没更新。

微信

hansyu 发表于 2023-3-30 21:34
上周用脚本测有触发一个RP的suspectpowershell的检测，剩下的脚本几乎只能依靠AMSI。
另外，RP的静态模 ...

我这边基本都靠月神和AMSI，感觉很虚的

hansyu

微信 发表于 2023-3-31 09:19
我这边基本都靠月神和AMSI，感觉很虚的

那个powershell检测只触发了一次，后面的其他的js或者vbs新样本启动powershell都没有反应。
不知道是不是更新又把检测禁用了，以前RP本地检测刚推送的时候就经常通过更新来调整开关，从来不给用户选择权，都是咖啡自己决定什么时候启用什么时候禁用。

微信

hansyu 发表于 2023-3-31 09:49
那个powershell检测只触发了一次，后面的其他的js或者vbs新样本启动powershell都没有反应。
不知道是不 ...

是的，感觉把用户当傻子

hansyu

微信 发表于 2023-3-31 16:17
是的，感觉把用户当傻子

已经入库的bat文件双击是可以阻止的。入库的js和vbs双击似乎不会拦截，AMSI也没反应，不知道是不是我虚拟机的问题，对入库的同一脚本手动扫描有时能检出，有时不能，所以双击测试结果存疑。实机手动扫描倒是每次都能检出，没条件测双击能不能阻止。

微信

hansyu 发表于 2023-3-31 19:56
已经入库的bat文件双击是可以阻止的。入库的js和vbs双击似乎不会拦截，AMSI也没反应，不知道是不是我虚拟 ...

这个我倒没注意，没有读写监控我感觉虚的很

hansyu

微信 发表于 2023-3-31 20:29
这个我倒没注意，没有读写监控我感觉虚的很

我今天刚刚特意找了几天前的病毒包看看离线扫描入库情况，偶然发现有几个脚本和bat入库，就专门测试一下，结论就是bat完全可以阻止，js和vbs在虚拟机内手动扫描检出不稳定，双击都没反应，等下一个版本发布再试试。

微信

hansyu 发表于 2023-3-31 21:03
我今天刚刚特意找了几天前的病毒包看看离线扫描入库情况，偶然发现有几个脚本和bat入库，就专门测试一下 ...

有没有可能他们发现不了这个问题...感觉这样把稍微懂一点点的用户都赶跑了