[转帖]去除未知应用程序隐藏下载驱动的方法，很有用！

woshijiqiren

最近发现了卡巴的一个很奇怪的现象于是上论坛发帖子http://bbs.kafan.cn/thread-481005-2-1.html询问了一下，今天下午自己研究了一下，有点小成果，结果刚刚在卡巴一族论坛上看见了详细的解释，赶紧装过来，让大家也学习学习。以下是转帖


目前国内很多网络游戏都安装了反外挂功能，这些反外挂程序都有一个共通性，就是将自身隐藏起来安装反外挂驱动。而这种行为触发了卡巴斯基主动防御的检测隐藏驱动安装规则，导致卡巴斯基出现“风险软件”提示。类似这样的行为病毒程序也会使用，目的是达到免杀（不容易被发现）
下载 (59.15 KB)
卡巴斯基主动防御隐藏下载驱动规则
2009-3-12 20:50


我总结了一些经验与大家分享下：我这里用QQ炫舞做一个示范
  测试软件：卡巴斯基全功能安全软件
  在游戏第一次运行时，卡巴斯基应用程序过滤，会分析游戏是否有数字签名和是否在卡巴斯基白名单数据库，如果在以上范围内，卡巴斯基将会把游戏放入受信任组。如果不符合上述范围，卡巴斯基将会把游戏放入低受限，那么运行游戏后就会出现一个提示框，如下图：
下载 (38.39 KB)
2009-3-12 21:40



我们只需要选择添加到排除就可以了。出现这个提示框时，一定要了解你正在运行的程序是什么，虽然很多都是游戏的行为，但也有例外，我曾就下载过一个叫“死亡时钟”的软件当时用卡巴扫描正常，运行后，卡巴就弹出了类似的提示，被我隔离了，后来经过上报，被官方认定为灰鸽子，所以这样的提示框不要小视。这里告诉大家一个识别方法：如下图：
下载 (43.51 KB)
2009-3-12 20:50


  添加到排除后，由于游戏已经将自身隐藏起来，卡巴斯基就不知道是什么东西在隐藏安装驱动，所以就会出现一个只能选择“允许”的提示框，如本次测试的QQ炫舞还有跑跑卡丁车等等都会出现
下载 (27.87 KB)
2009-3-12 20:50


目前很多正规游戏都有数字签名，卡巴斯基也把很多游戏加入了白名单，所以大部分游戏都不会出现图2的情况，因为，卡巴斯基主动防御不监控具有数字签名和白名单的程序，所以，大部分网游都会出现上图的提示。
遇到这样的情况，很麻烦，我们可以自己设置规则来去掉这个提示，如下图：
下载 (31.1 KB)
2009-3-12 20:50


按上图记住驱动的路径。然后打开卡巴斯基的设置——威胁和排除——信任区域——排除规则——选择添加来添加规则——去掉对象的钩，选择威胁类型：
下载 (63.93 KB)
2009-3-12 20:50


在输入威胁名称的上面填写“Suspicious driver installation”也就是隐藏下载驱动的英文，在下面的高级设置填写刚才记录的路径，QQ炫舞下载的路径就是“C:\WINDOWS\SYSTEM32\TESSAFE.SYS”（均为大写）如下图
下载 (73.27 KB)
2009-3-12 20:50


这样卡巴斯基就不会出现未知程序隐藏下载驱动了！

[ 本帖最后由 woshijiqiren 于 2009-5-16 21:15 编辑 ]

woshijiqiren

第一次转帖有什么不对的地方请指正

myimee

嗯，以后也试试，我觉得不错

走丢啦

好东东

syfwxmh

貌似这个帖子和LZ当时问我的问题不是同一个。

是不是最近劳累过度理解能力下降了

woshijiqiren

梦幻这个~~~  
我的原话：
有时候卡巴会检查到隐藏驱动加载，全局钩子，在交互式模式下会弹出窗口   但是窗口只有允许选项  点击允许以后 在报告的主防里面看 显示该程序不存在这是什么愿意？
难道是我没说清楚，哎，人老了 梦幻还是得多休息哈 身体重要
只不过后来由于报告的原因，话题延伸了，我现在还在寻求内核模块源文件不在的原因

[ 本帖最后由 woshijiqiren 于 2009-5-16 21:36 编辑 ]

987663737

那么复杂
。。。。。。。。。。。。。。。。。。。。。。
我还是每次点允许算了

gem_lee

跟着学习下

鲜红辣椒

了解一下了，，，，，

zn.1970

学习了。。