微软这EDR的进程注入检测出问题了？

ANY.LNK

最近连续的多个样本都没有警告









还有https://bbs.kafan.cn/thread-2282123-1-1.html持久化注入的dvdplay.exe，都完全没有警报的

pluto1313

之前Win10自带的MD，版本202504x，每次打开NSudo和SystemInformer，ASR都有低风险的阻止日志。
最近自动更新到202505x，打开上述两个软件，ASR无任何日志。

驭龙

MD奇奇怪怪的bug始终是层出不穷啊，当然也可能是因为调整阶段

ANY.LNK

驭龙 发表于 2025-6-16 16:23
MD奇奇怪怪的bug始终是层出不穷啊，当然也可能是因为调整阶段

再补充一些，篡改排除项的EDR检测也有问题


这个加进去了，没报告

驭龙

ANY.LNK 发表于 2025-6-20 22:23
再补充一些，篡改排除项的EDR检测也有问题

那岂不是通过PS命令，还是可以随意添加排除？那不就意味着一个脚本就彻底让MD监控报废了

ANY.LNK

驭龙 发表于 2025-6-20 22:45
那岂不是通过PS命令，还是可以随意添加排除？那不就意味着一个脚本就彻底让MD监控报废了

有一些会触发报毒（主要是直接添加根目录那些），但是EDR不知怎的就一点报告都没触发

驭龙

ANY.LNK 发表于 2025-6-20 23:03
有一些会触发报毒（主要是直接添加根目录那些），但是EDR不知怎的就一点报告都没触发

唉，可能还是不完善吧，不过MD一直在进步，近期大动作频频，驱动大修，引擎大修，添加新的功能模块，ASR也可以调用信誉，还是很猛的

另外，我怀疑开SAC，MD的读写监控没反应不是BUG，而是因为SAC调用的MD信誉云，为了流畅性不重复检测文件，才导致开SAC，MD读写监控无效，当然是猜测，不然无法解释一年多的BUG为何不修复

ANY.LNK

驭龙 发表于 2025-6-20 23:09
唉，可能还是不完善吧，不过MD一直在进步，近期大动作频频，驱动大修，引擎大修，添加新的功能模块，ASR ...

虽然但是，那个崩UI的BUG一直到Windows 11出了之后才修，错误显示威胁的BUG也是近年的事情

另外SAC的BUG还在于扫描到的威胁也处理不了，看文档确实有检测重合的部分，或许避免云复用是一种可能，但二者的检测判断结果还是有较大的差异这点来看，不确定是为了避免复用什么

驭龙

ANY.LNK 发表于 2025-6-20 23:26
虽然但是，那个崩UI的BUG一直到Windows 11出了之后才修，错误显示威胁的BUG也是近年的事情

另外SAC的B ...

我这边已经不存在扫描无法清毒的问题了，上次更新2504的时候，我好像就说过了

二者检测区别是因为云的等级不一样，所以可能结果就不一样。

当然，我真的希望是BUG，不然我都没希望回归MD了，难受中

莒县小哥

驭龙 发表于 2025-6-20 23:39
我这边已经不存在扫描无法清毒的问题了，上次更新2504的时候，我好像就说过了

二者检测区别是因为云的 ...

龙大现在开了SAC,MD监控还是坏的，而且开了SAC后云还是有问题
这个 样本MD扫描也不杀