亲身体会了“小红伞”误报的“威力”

显示全部楼层 · 发表于 2007-3-6 20:30:14

1、某月某日小红伞将我的rundll32.exe报为木马隔离；
2、今天安装ip1200打印机驱动，装好之后死活打印不出一个字，打印管理器显示“正在打印，，正在检测设置和状态”就毫无反应，于是不停安装、卸载、下载不同的驱动、打开各种系统服务。。。。从今天下午5点忙到8点。。无效，十分钟前准备重装系统。
3、准备关机前看到了“邪恶”的红伞，福至心灵地打开隔离区把四个文件rescan，刹那间rundll32.exe被恢复名誉，解除隔离，同时一个从未出现的窗口弹出“您没有安装彩色墨盒，无法打印”，哭。。。。。。。。
4、原来听说ip1200可以单墨盒打印于是只装了一个黑色墨盒，原来必须是彩色墨盒才可以单墨盒。。。。

哭。。。。。。。。

显示全部楼层 · 发表于 2007-3-6 20:35:09

人家采取的是宁可错杀一千,也不放过一个的策略,误报高点对于菜鸟来说是好事,反正确保你中毒中木马的几率很小..

上面的言论转自这里某高人

显示全部楼层 · 发表于 2007-3-6 20:37:45

的确，有的时候升级数据签名之后发现报某某有毒，然后更新之后又不报了。

很可能就是某个vdf版本报，下一个vdf就修复了...

显示全部楼层 · 发表于 2007-3-6 20:42:36

我还没见过那个品牌的打印机驱动会调用rundll32.exe的

显示全部楼层 · 发表于 2007-3-6 20:44:47

我不怕误报,就怕有毒不报

,误报了自己看清楚,加入信任区就可以了

显示全部楼层 · 发表于 2007-3-6 21:22:52

小红伞的误报确深有体会。

显示全部楼层 · 发表于 2007-3-6 21:31:57

啟發不要開到最高就不會有太多的誤報了

显示全部楼层 · 发表于 2007-3-6 23:12:16

我也误报了几次了，老是把注册机给拉出去斩了……

显示全部楼层 · 发表于 2007-3-7 00:08:50

怎么看怎么是你中毒了

显示全部楼层 · 发表于 2007-3-7 04:10:36

rundll32会调用任何带有DLL对象连接或者API钩子的程序

[技术原创] 亲身体会了“小红伞”误报的“威力”

回复 #4 hnhkxywl 的帖子