太激动了，火绒终于启用AM-PPL技术，进一步强化自我保护，火绒真的在变强！

显示全部楼层 · 发表于 2026-1-9 05:00:57

本帖最后由 00006666 于 2026-1-9 05:55 编辑

主要我以前是习惯把杀软这些进程统称托盘进程，因为他都是用户态的，这个习惯很不好，确实要改……，我前面一直想说的是现在国内可能有一款EDR在没了服务进程等所有进程情况下依然能实现行为监控并向控制台告警…，不知道怎么表达，就是因为有篇文章说的那个没了r3 agent基于纯内核态还能实现功能。。毕竟失去R3 agent跟失去托盘进程这应该是不一样的概念吧，应该说的就是r3组件全部瘫痪，当然这个要等有这款EDR的人来测试才知道了。杀软服务进程在以前就算没有PPL也不好干掉，杀软服务本身是受保护的，所以很多杀软的服务进程没有PPL。

显示全部楼层 · 发表于 2026-1-9 08:50:29

虽然不太懂，但是感觉很厉害，看来我也要设置一下自动删除了

显示全部楼层 · 发表于 2026-1-9 09:35:15

飞翔的蒲公英发表于 2026-1-8 19:48
据火绒论坛那边信息说卡巴斯基那边不考虑兼容

我昨天装了火绒，目前和卡巴斯基没出现冲突，看看在用几天什么情况

显示全部楼层 · 发表于 2026-1-9 09:50:55

00006666 发表于 2026-1-9 00:58
就是我该怎么说，HipsDaemon.exe这个进程放以前能被R3干掉，现在要驱动才能干掉，但是始终是能干掉的对吧， ...

纯内核一样可以干掉，现在利用那些任意内存读写的漏洞驱动可以随意干内核的各种回调，各种内核标志。

显示全部楼层 · 发表于 2026-1-9 10:30:35

wowocock 发表于 2026-1-9 09:50
纯内核一样可以干掉，现在利用那些任意内存读写的漏洞驱动可以随意干内核的各种回调，各种内核标志。

大神，现在有什么对付BYOVD的方案吗？

我感觉纯驱动层的产品没意义了吧，好多年前，赛门铁克就放弃驱动级的AV引擎了

而且我觉得现在搞纯驱动产品，不现实，毕竟每次更新驱动内容都需要重新WHQL签名吧，效率不太好。

显示全部楼层 · 发表于 2026-1-9 10:35:58

驭龙发表于 2026-1-9 10:30
大神，现在有什么对付BYOVD的方案吗？

我感觉纯驱动层的产品没意义了吧，好多年前，赛门铁克就放弃驱 ...

现在都是学微软，及时入库漏洞驱动。只要靠谱的运营即可，都不用技术含量。用最简单的方法解决问题才是王道。

显示全部楼层 · 发表于 2026-1-9 10:50:35

wowocock 发表于 2026-1-9 10:35
现在都是学微软，及时入库漏洞驱动。只要靠谱的运营即可，都不用技术含量。用最简单的方法解决问题才是王 ...

卡巴斯基直接上IAT Hook，太猛了

显示全部楼层 · 发表于 2026-1-9 10:55:35

wwwab 发表于 2026-1-9 10:50
卡巴斯基直接上IAT Hook，太猛了

火绒：你是故意找茬是不是，你哪壶不开提哪壶

显示全部楼层 · 发表于 2026-1-9 10:55:38

wwwab 发表于 2026-1-9 10:50
卡巴斯基直接上IAT Hook，太猛了

国外那几个能免疫漏驱的杀软/edr全都是这种

显示全部楼层 · 发表于 2026-1-9 10:55:49

wowocock 发表于 2026-1-9 10:35
现在都是学微软，及时入库漏洞驱动。只要靠谱的运营即可，都不用技术含量。用最简单的方法解决问题才是王 ...

哈哈，简单高效就是王道，安全软件效率非常重要。

不过还是希望以后能有什么新东西可以进一步降低这种威胁风险

[分享] 太激动了，火绒终于启用AM-PPL技术，进一步强化自我保护，火绒真的在变强！