咖啡的实时防护是摆设？

hhhq316

装了全方位开实时防护,用论坛的样本双击没有任何反应,扫描却能扫出病毒，双击都运行了实时防护还是没反应，那要它的实时防护有什么用。

hansyu

你用的是什么版本？如果是R50，在开启了快速启动以后，关机再次开机之后会导致实时扫描失效。
建议，要么不用，要么关闭快速启动。

hhhq316

hansyu 发表于 2023-3-18 15:34
你用的是什么版本？如果是R50，在开启了快速启动以后，关机再次开机之后会导致实时扫描失效。
建议，要么 ...

发行名称16.0 R50，装完启动设置默认勾选了最快启动时间，但是我已经取消勾选了，实时防护还是不起作用

hansyu

hhhq316 发表于 2023-3-18 15:38
发行名称16.0 R50，装完启动设置默认勾选了最快启动时间，但是我已经取消勾选了，实时防护还是不起作用

不是这个快速启动，是windows那个快速启动。

hhhq316

hansyu 发表于 2023-3-18 15:40
不是这个快速启动，是windows那个快速启动。

没有打开，是关了的

hansyu

hhhq316 发表于 2023-3-18 15:41
没有打开，是关了的

那我就不知道了，我只知道开了Windows的快速启动以后会导致监控失效。
其他监控失效的情况还没遇到。
另外，你双击的是哪几个样本？咖啡监控只监控可执行程序。

hhhq316

hansyu 发表于 2023-3-18 15:45
那我就不知道了，我只知道开了Windows的快速启动以后会导致监控失效。
其他监控失效的情况还没遇到。
...

[病毒样本] 样本 2X Farfli远控 chm 白加黑 这个样本

hansyu

hhhq316 发表于 2023-3-18 15:48
[病毒样本] 样本 2X Farfli远控 chm 白加黑 这个样本

你运行的哪个？里面那个程序还是外面的chm？
如果你运行里面的那个程序，可能要等它尝试加载了这个dll的时候才会杀。
外面那个我没试。

只监控exe？这么拉?脚本类不就完了？

脚本类和powershell之类的靠AMSI接口，或者如果脚本过了AMSI扫描把可执行部分的dll或者exe下载下来加载的时候会杀。大体来说就是拦截点非常靠后。

hhhq316

hansyu 发表于 2023-3-18 16:01
你运行的哪个？里面那个程序还是外面的chm？
如果你运行里面的那个程序，可能要等它尝试加载了这个dll的 ...

啊.......这、、、、、、