破除对咖啡的迷信（突破Mcafee）

phileng

想要防，肯定是能防住的。用比较严厉的自定义规则，一个毒都漏不掉！

zea10t

告诉你他是个病毒，那咖啡肯定能防住。
怕就怕你下载的软件在不知道情况直接给信任了。


首先MDF就能阻挡他运行。
时间:         2007-3-27 18:28:03
事件:         应用程序
说明:         pg-demo.exe
路径:         D:\Downloads\pg-demo\pg-demo.exe
消息:         阻止 应用程序创建

其次咖啡的规则。
2007-3-27    18:12:39    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\IMM32.DLL    用户定义的规则:A86 超级防护规则（警告！慎用此规则！）    已阻止的操作: 执行
2007-3-27    18:12:39    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\LPK.DLL    用户定义的规则:A86 超级防护规则（警告！慎用此规则！）    已阻止的操作: 执行
2007-3-27    18:12:39    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\rpcss.dll    用户定义的规则:A86 超级防护规则（警告！慎用此规则！）    已阻止的操作: 执行
2007-3-27    18:12:39    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\uxtheme.dll    用户定义的规则:A86 超级防护规则（警告！慎用此规则！）    已阻止的操作: 执行
2007-3-27    18:12:39    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\FONTS\SSERIFE.FON    用户定义的规则:A86 超级防护规则（警告！慎用此规则！）    已阻止的操作: 执行
2007-3-27    18:12:39    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\uxtheme.dll    用户定义的规则:A86 超级防护规则（警告！慎用此规则！）    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\IMM32.DLL    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\LPK.DLL    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\rpcss.dll    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\uxtheme.dll    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\FONTS\SSERIFE.FON    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\uxtheme.dll    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\FONTS\SVGASYS.FON    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\system32\uxtheme.dll    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:16    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\FONTS\VERDANA.TTF    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行
2007-3-27    18:13:17    已由访问保护规则禁止     TMD-028C5396E70\Administrator    D:\Downloads\pg-demo\pg-demo.exe    C:\WINDOWS\FONTS\SVGASYS.FON    用户定义的规则:AD 对C盘程序的启动进行管制    已阻止的操作: 执行

最后SSM也可以阻止他运行和注入DLL。

所以在新安装软件的时候最好在打开SSM的情况下安装。

tizeeme

我的NOD32被干掉了……

tizeeme

用mcafee试了一下，超级版规则一样OVER。

jjjmeme

呵呵，能被结束，不等于就会被轻易突破的说，如果觉得一个咖啡孤军奋战有点玄，加个HIPS就保险一点咯