后台扫描无法关闭

显示全部楼层 · 发表于 2026-8-31 17:50:59

pal家族发表于 2026-8-31 10:54
看下快速扫描设置里的扫描计划。你这个问题值得开启traces反馈一下

劳烦诸位了。最终经过仔细排查，原因是：
我在电脑上安装了第三方任务管理器 TaskSlinger。和 SysinternalsSuite 的 procexp 一样，替换系统默认任务管理器，采用的方法是卡巴显然不会喜欢的 IFEO 劫持。为此，设置了全局排除项 HEUR:Trojan.Multi.Ifeodeb.a（卡巴不支持排除注册表路径，且即便排除了程序本身，也会单独报该注册表项，只能这样排除。Ifeodeb = IFEO Debugger）。经过对 Traces 日志的仔细筛查，注意到卡巴有以下行为：
1. 每次更新病毒库后，会静默对系统内存进行扫描。
2. 内存扫描（其实不仅仅是内存）命中了上面所述的 IFEO 注册表项，命中规则是 #37737818。
3. 根据 kavbase...kmc 病毒库中的配置规则，该命中为非静默检测（Loud Detects）
4. 产生非静默检测后，发起 SHC.StartAvpProfileTask("Scan_Qscan")
5. 然后就看到上面的后台扫描(Rootkit扫描)了。它的扫描配置正是 Qscan。

显示全部楼层 · 发表于 2026-8-31 21:06:49

落霜枫舞发表于 2026-8-31 17:50
劳烦诸位了。最终经过仔细排查，原因是：
我在电脑上安装了第三方任务管理器 TaskSlinger。和 Sysintern ...

这么专业吗朋友！

显示全部楼层 · 发表于 2026-8-31 22:32:08

pal家族发表于 2026-8-31 21:06
这么专业吗朋友！

其实要归功于 GPT 不厌其烦的读日志乃至逆向了一部分卡巴的代码（

[问题求助] 后台扫描无法关闭

评分