KIS2009的某些规则似乎不太合理

显示全部楼层 · 发表于 2009-2-19 11:53:48

我装了《中文女声语音库2.0》，原来用KIS7的时候怎么扫都正常过。最近看到506(a)解决了Office问题，毅然升级KIS2009(506(a))，然后来个全盘大扫。扫出女声语音库里头的一个动态链接库带毒(或者说不是毒，只是不信任(Untreated)的东东，卡巴强烈要求将它清除，但清不了，卡巴强行将其隔离。不隔离的话，若不放入信任区域免扫，卡巴就报警报个不停。所以我这里方便起见，就叫它“毒”吧)。我把这个链接库复制出来拿到原安装包所在目录下，由于卡巴扫出来说是多重壳的，我又将其多重解壳(解壳后的库文件放回语音库目录替换那个带“毒”的原库文件，语音库可正常运行，脱壳用的是AspackDie，免得手脱不够大众化或不小心去掉了真的“毒”)。然后让卡巴对三个文件扫(如图1)，结果就是安装包msi没“毒”，脱壳后的库没“毒”，就是那个带壳的有“毒”(如图2)。

图1

图2

问题就来了。
1、既然未解壳的库文件有毒，那为什么msi包又没提示有毒呢？msi包内的对应这个库文件的内容应该是未解壳的呀(Universal Extractor解开msi包后证明我的推测正确，一解完msi包，卡巴就报了)。PS：我没将msi包列入信任免查范畴。
2、卡巴扫描结果中，带壳的原库文件是3重Aspack，可我解壳的时候是解到第4重才完全解开。是否卡巴对多重壳扫描有层次限制(最多3层？？)？PS：我没设定卡巴扫描时的时间与体积限制，而且这个文件体积很小，不到1秒就扫完了。
3、既然脱壳后没毒，为什么加几重壳就变成有毒了呢？AsPack是常见的常规壳。难道多重加壳只是黑客所为，不用细查就断定一定是毒吗？卡巴这种处事态度让人诧异啊！

我把链接库文件(原带壳文件和脱壳后的文件)打包放上来了，各位有兴趣可以看看。

regvoice.rar (48.75 KB, 下载次数: 41)

显示全部楼层 · 发表于 2009-2-19 11:55:49

补充，下载附件时，由于压缩包内那个带壳的库文件的缘故，卡巴是会拦截下载的，解决办法就不用讲了吧

对于5楼、8楼、9楼的回复，在12楼我有回应。

[ 本帖最后由 Coolie 于 2009-2-20 11:39 编辑 ]

显示全部楼层 · 发表于 2009-2-19 13:03:59

点击下载就报毒，真敏感哦。

显示全部楼层 · 发表于 2009-2-19 15:17:38

咱不用2009

显示全部楼层 · 发表于 2009-2-19 15:26:01

希望楼主看清楚卡巴报的是什么
你脱壳前，卡巴报的是Multi.Packed（多层壳）
你脱壳后，卡巴就不报了
卡巴完全没错啊，卡巴报的就是壳，它没报病毒啊
而且如果你想卡巴不报多层壳也很简单，在设置，威胁和排除里，你可以设置是否报多层壳
如图所示

[ 本帖最后由 Redevil 于 2009-2-19 15:29 编辑 ]

显示全部楼层 · 发表于 2009-2-19 17:00:37

同意楼上意见。卡巴报的一点没错~

显示全部楼层 · 发表于 2009-2-19 22:46:09

09里确实多了一个这样的复选项

显示全部楼层 · 发表于 2009-2-19 22:50:44

壳的问题5楼已经解释了，你说卡巴扫描MSI不报很可能是你的扫描设置的问题，卡巴有设置是否扫描安装程序的。

显示全部楼层 · 发表于 2009-2-20 07:03:20

厄~这不是报毒。在卡巴看来这个程序包含一些不正常壳，所以提示你可能存在危险（正常的程序加壳不会这么加的）。如果你换红伞可能就会出现报病毒的情况。（红伞很多病毒是定位在壳上，例如xpack.gen）
所以这个不是卡巴规则有问题，而是卡巴规则很人性化。如果你不喜欢可以关闭卡巴的多壳检测

显示全部楼层 · 发表于 2009-2-20 09:04:18

5#和9#两位版主已经解释得很清楚!