关于 SentinelOne Rollback 炸飞我的系统的事

flyingyoung

我个人喜欢用 Uninstall Tool 这个小工具来卸载其他安装的软件，它可以调用各个软件的标准卸载程序，然后在卸载完毕之后扫描常见的位置删除残留的数据文件和注册表。

SentinelOne 和它一直不对付，所以我在 Exclusion 里给它设置了一个 Agent Interoperability 级别的排除：




这里解释一下：SentinelOne 的 Exclusion 有两个级别：Agent Interoperability 和 Performance，前者的描述如下：

EDR behavioral AI Logics and visibility events that depend on in-process monitoring will not be monitored and collected (Stop DLL injection to the excluded processes). The Agent will suppress and not mitigate threats If the Storyline™ root process of a threat runs from the excluded path.

而 Performance 级别的描述是：

The Agent will disable monitoring and all detection engines for processes that run from the excluded path: Reputation, Static AI, Behavioral AI, Documents & Scripts, Lateral Movement, Anti- Exploitation/Fileless, Potentially Unwanted Applications, Application Control, and Detect Interactive Threats. The Agent will suppress and not mitigate threats If the Storyline™ root process of a threat runs from the excluded path.

当时我觉得 Agent Interoperability 就可以了，说实话我现在也没搞清楚这两个级别到底有啥区别，反正看它不追着 Uninstall Tool 杀了就这样放着没管，然后一直用着也没出啥问题。

结果直到前几天，我用 Uninstall Tool 卸载 Symantec Endpoint Protection 纯墙的时候，大概是 SEP 的卸载程序有太多在 S1 看来的高危行为，而这又是 Uninstall Tool 调用的，所以一股脑的把 UT 和 SEP 的卸载程序一起杀了，还弹了个窗，大意是告诉我恶意操作已经回滚了，一些操作需要重启才可以生效。我当时觉得，哦只是把卸载 SEP 的操作回滚了，加上当时系统确实也没啥异常，就一直用了几个小时，期间一直没关机。

高潮来了：当天晚上我关机睡觉了，第二天开机的时候居然因为驱动错误而蓝屏了，我用手机一搜，好家伙，是我八百年前就卸载了的 ZoneAlarm 防火墙的驱动？？？

我当时就知道是 S1 的 Rollback 坏事儿了，用手机摸摸索索地打开 S1 的控制台（完全没有小屏适配），找到当时的那个 Alert，下载 Rollback 的 CSV Report，一看，好家伙，5MB：



打开一看，里面密密麻麻地写着基本上所有我卸载过的软件，注册表也好文件也好，全给我滚了回来，当然也包括 ZoneAlarm 的驱动：



得嘞，这么多东西一股脑给我滚回来了，我也别修了，进 PE 备份下重要文件重装系统算了。

不是哥们，你咋这么能记仇，八百年前卸载的东西，中途经历了无数次关机重启之类的，这都能滚？

桔梗想见雪

s1：贵有贵的好处，你就说强不强嘛

Loyisa

前有s1滚炸系统，后有s1文件恢复器
真是贵有贵的好处啊(这也太惨了)

pal家族

比卡巴还能回滚

神龟Turmi

pal家族 发表于 2024-11-24 03:19
比卡巴还能回滚

这时候就要提一下某个传奇耐滚王在s1控制台手抖对着我的svchost.exe点mark as threat的事情了
进u盘的linux live cd挂载上ntfs3g一看 windows目录没了接近一半
@隔山打空气 出来接受迫害！

bbszy

这个uninstall tool哪里有下载呀

玻璃钢耗子

你这个回滚比很多恢复软件还给力

zfc234

说到回滚，webroot的回滚记录时间和占用也是叹为观止

Fadouse

S1的回滚是这样的
*所以我设置的是仅kill

flyingyoung

bbszy 发表于 2024-11-24 14:27
这个uninstall tool哪里有下载呀

我是入正的，不过他家的学习版也到处飞，应该好找