之前看到一个帖：测试jpzy提出的IEFO对付NIS2009，有没有人测试2010正式版啊！

显示全部楼层 · 发表于 2009-9-19 10:11:39

2009的测试帖子在这里：http://bbs.kafan.cn/viewthread.php?tid=529850&extra=&page=2，希望有高人测试测试2010正式版！

显示全部楼层 · 发表于 2009-9-19 12:26:46

除非厂商像HIPS那样，单独对IFEO键值进行保护。否则，单纯的添加IFEO是不会引起报警的。
手动HIPS那样的方式，是所有厂商不愿意做的。毕竟报警太频繁了。
只能期待Sonar能够根据其它行为对利用这种方式干掉杀软的样本进行防御。
毕竟一个样本不可能只添加一个IFEO就完了。肯定需要后续的动作。

当然了恶意程序想要绕过还是比较容易的。比如某个样本运行后只有添加IFEO和添加启动项的行为。这样的行为可能不会触动行为分析。而用户重启以后，因为IFEO的缘故，安软无法启动了，而样本释放的启动项运行后联网开始下载后续的具有破坏性的病毒木马…………

显示全部楼层 · 发表于 2009-9-19 12:29:49

非常感谢楼上的分享。

显示全部楼层 · 发表于 2009-9-19 14:20:34

感谢JP解答，学习了

显示全部楼层 · 发表于 2009-9-19 17:57:09

感谢JP的解答，你的回答是这么的专业！学习了！

显示全部楼层 · 发表于 2009-9-19 18:00:50

不如直接设置权限禁止创建读取键值，就像XX免疫程序一样，反正一般的用户用不到这个

显示全部楼层 · 发表于 2009-9-19 19:09:34

学习了，jp

显示全部楼层 · 发表于 2009-9-19 20:17:39

不过以前有人测试过
2009的自我防护很强大
添加ccSvcHst.exe的IEFO是不可能的
2010不可能退步吧

[讨论] 之前看到一个帖：测试jpzy提出的IEFO对付NIS2009，有没有人测试2010正式版啊！