红伞的监控是否有 BUG?

shhggl

直以来，一直在卡饭潜水，原来一直用F-SECURE，从7.0版本一直用到8.0 版,也挺好,没遇到什么问题.

自从上了卡饭,就有点偏执狂的趋势,试用各种软件,现在用的是红伞加op的组合。都是最新的版本。

前两天看到一篇文章--<<介绍简单易用、安全可靠的HIPS ：DefenseWall HIPS>>,链接在http://bbs.kafan.cn/thread-114129-1-1.html,其中最后谈到两个玩笑程序，斑竹说能拦截的HIPS 不多,出于好奇,我下载了这个包,其中Allure.exe 会移动并关闭所有窗口。 据斑竹称DefenseWall 会拦截关闭窗口的动作。可以用 DefenseWall 的快捷键结束Allure的进程。问题是我试验的结果是前提你要把他加到Untrusted列表里,才能用 DefenseWall 的快捷键结束Allure的进程，否则你就只能重启了。所以说这个程序还是有些恶意的，监控软件应该有所提示。

这倒不是我要谈的重点，问题在于我在另一台笔记本上试的时候，那台笔记本上F-SECURE对两个程序直接就跳出来报警，而我的红伞对两个程序却毫无反应，即使你用右键扫描，也毫无反应，我想是否红伞是否不认为它们是恶意程序，问题是我想向红伞上报的时候，红伞的反馈如下：

A listing of files alongside their results can be found below:

File ID	Filename	Size (Byte)	Result
1099121	Allure.exe	28 KB	MALWARE

Please find a detailed report concerning each individual sample below:

Filename	Result
Allure.exe	MALWARE

The file 'Allure.exe' has been determined to be 'MALWARE'.
Our analysts named the threat Joke/CloseMouse.A.3. The term "JOKE/" denotes a Joke program that usually does not contain malicious code.Detection is added to our virus definition file (VDF) starting with version 6.35.01.32.


Please note that you will receive an email which will contain the results shown above. In case the final outcome of the analysis is not yet finished for all files the notification will be sent once ready.


也就是说，6.35版就可以认定的恶意程序，到最新的8.2.0.374反而没反应了，真是奇哉怪也。是否说明红伞的监控有问题呢？还是我自己的问题？我把附件法上来，大家可以测以下。

顺便说依据，我的红伞是P班，监控开的是高启发。




谢谢诸位，问题已解决，joke的勾没打上。

[ 本帖最后由 shhggl 于 2008-12-14 20:09 编辑 ]

linjw

我的没问题啊
Virus or unwanted program 'JOKE/CloseWindow.B [joke]'
detected in file 'C:\Sandbox\Administrator\others\drive\D\joker\ks.exe.
Action performed: Deny access

Virus or unwanted program 'JOKE/CloseMouse.A.3 [joke]'
detected in file 'C:\Sandbox\Administrator\others\drive\D\joker\Allure.exe.
Action performed: Deny access

shhggl

奇怪，我又检查了一下红伞的设置，没排除呀。还是查不出。

shhggl

即使直接扫描也不行，真是奇怪呀？

linjw

扫描也没问题~~~
Begin scan in 'D:\joker.rar'
D:\joker.rar
    [0] Archive type: RAR
    --> Allure.exe
      [DETECTION] Contains recognition pattern of the JOKE/CloseMouse.A.3 joke
    --> ks.exe
      [DETECTION] Contains recognition pattern of the JOKE/CloseWindow.B joke
    [NOTE]      A backup was created as '49afec95.qua'  ( QUARANTINE )
    [NOTE]      The file was deleted!

yuna

我的手动扫描能发现病毒！楼主的红伞怪了！

淡青呀有

楼主有勾选监控类型吗?貌似有个joke的勾打上没有?

linjw

刚试了下，joke没勾上就扫不出毒了，LZ可以检查下自己扩展威胁设置

shhggl

谢谢楼上的兄弟，的确是你说的问题，joke的勾没打上。

薇薇兔

我的红伞报了