关于执行监控的局限性

PanzerVIIIMaus

bbszy 发表于 2024-6-15 23:30
试试官方的月神检测文件呢？这个只是用来测试月神云的连接性的

先行关闭了按访问扫描再解压
打开按访问扫描再双击
可执行文件都双击杀
PDF文件双击没有反应
右键补刀，剩一个VSE的那个大PDF

bbszy

PanzerVIIIMaus 发表于 2024-6-16 09:39
先行关闭了按访问扫描再解压
打开按访问扫描再双击
可执行文件都双击杀

我这边测试了下，个人感觉没有强制的执行监控，而是打开的过程中触发了写入监控

PanzerVIIIMaus

bbszy 发表于 2024-6-24 02:45
我这边测试了下，个人感觉没有强制的执行监控，而是打开的过程中触发了写入监控

emmm……类似于新打开的程序写临时文件被回溯了？

bbszy

PanzerVIIIMaus 发表于 2024-6-24 03:05
emmm……类似于新打开的程序写临时文件被回溯了？

不是很懂，只是猜测

ジ蓅暒划过づ

发现一个问题，好像卡巴文件监控用执行时扫描，解压一些病毒样本不用双击也自动杀了

bbszy

ジ蓅暒划过づ 发表于 2024-7-15 21:38
发现一个问题，好像卡巴文件监控用执行时扫描，解压一些病毒样本不用双击也自动杀了

那是因为解压过程中有的进程有读取操作，被认为是执行了。

ジ蓅暒划过づ

bbszy 发表于 2024-7-16 09:33
那是因为解压过程中有的进程有读取操作，被认为是执行了。

Eset也设置执行监控不过没双击的话没反应，不可否认卡巴这点做的挺好

bbszy

ジ蓅暒划过づ 发表于 2024-7-16 10:52
Eset也设置执行监控不过没双击的话没反应，不可否认卡巴这点做的挺好

我是感觉仅有执行监控不太安全，又不是只有exe、dll才是病毒

ジ蓅暒划过づ

bbszy 发表于 2024-7-16 11:17
我是感觉仅有执行监控不太安全，又不是只有exe、dll才是病毒

我也觉得不太安全，不过我只是比较好奇卡巴的执行监控好像和别的不太一样

bbszy

ジ蓅暒划过づ 发表于 2024-7-16 11:27
我也觉得不太安全，不过我只是比较好奇卡巴的执行监控好像和别的不太一样

只是识别策略不一样
在执行监控下，卡巴除了文件的双击执行，对于文件加载也会检测，但也只检测部分类型文件的加载和部分宿主加载文件的方式。所以个别情况下 解压会触发。