卡巴斯基被假冒谷歌浏览器删了，无法启动，自保呢！！！

呼啸山庄

好神奇，UAC是KingSoft Security 安装程序。（没见过这么糙的。。。）
（我是关了文件防病毒测得，KES 12.6 20240820 16：02的数据库，not-a-virus:HEUR:Downloader.Win32.Duba.gen，报的还挺准）。
（把主机入侵防御关了也能杀。。。关键日志里我还找不到是谁杀的。。。神奇的KES）
（碎碎念，我还是找个时间弄个Kaspersky plus的快照。。。）


话说双击的话，这个才4mb，按理来说应该扫的很快啊？（我这是虚拟机的全量库欸）

---

非常难评，这玩意在Kaspersky Plus上安了个金山毒霸，用金山毒霸的软件管家安Chrome。。。

neorkbsep.sys这玩意一搜，欸嘿，还真有（VT，MB上都有。。。）
不过重启安装包触发卡巴高级清除，清除重启后一切正常（卡巴和金山都正常，就把安装包和安装包添加的防火墙规则删了。。。）
卡巴为啥无了，只能说想不明白，总不能是高级清除卡巴自己把自己干了吧。。。


沙箱的结果：

https://sandbox.qianxin.com/tq/r ... 9f4bda4&sk=70537223
https://s.threatbook.com/report/ ... 9238fa2f8ed30b42444

所以，好消息是貌似只用把金山卸了就行。。。
可能还要注意一下少许残留，neorkbsep.sys，Program Files(x86)/KingSoft/kingsoft antvirus和某某Downloads（可能在C:下）

VT上某关联样本：

https://www.virustotal.com/gui/f ... 4a57c398-1707470319

五味杂陈的。。。

poink

用bit试了试，双击以后当场拦截清理了

帝辛

带金山的有效数签。是金山推广。这事得怪雷军的营销支出。

电脑发烧迷

我实体机试毒了，打开后任务管理器能看到后台在静默安装，老套路了，安装完就是金山机霸，期间卡巴斯基没有反应，但也没事

喀反

看你截图卡巴并没有被删除，只是被禁止运行了，但奇怪的是其他人没有复现你的问题

milolee

看你百度的截图，那个就不是GOOGLE的图案，但是相似度很高，GOOGLE是3色它是4色，而且整个标题和简介内容都没有谷歌两字，只说浏览器。下载了只能说自己不小心

sdnk

FDxDDD 发表于 2024-8-24 11:53
什么反广告插件啊 大佬

建議年底黑五到聖誕節時蹲個特價買個adguard個人或家庭終身版,配卡巴免費版真的好用,幾年前買了家庭版9裝置用光了,準備年底再來蹲個

pal家族

这个东西不会直接带了命令行调用金山加载好的驱动来删除其他杀软的把？

tdsskiller

喀反 发表于 2024-8-24 22:09
看你截图卡巴并没有被删除，只是被禁止运行了，但奇怪的是其他人没有复现你的问题

安装包是金山签名，应该是推广安装包，除非是假签名。楼主那种情况很诡异，要么就是楼主曝光后下载源换了；要么就是安装毒霸后的兼容性问题导致卡巴无法启动

gove

pal家族 发表于 2024-8-25 02:01
这个东西不会直接带了命令行调用金山加载好的驱动来删除其他杀软的把？

没有被删除，表诉准确一点就是卡巴无法启动，控制面板-----程序与功能   里面看卡巴还在，卡巴有报 启动 高级清除技术，这个清除过程有2分钟左右，期间有双击程序 给自动运行了，清除重启后 卡巴无法启动 右下角也无卡巴，桌面快捷方式，显示被移动或更改，点击无反应