去除未知应用程序隐藏下载驱动的方法

梦幻星月

目前国内很多网络游戏都安装了反外-挂功能，这些反外-挂程序都有一个共通性，就是将自身隐藏起来安装反外-挂驱动。而这种行为触发了卡巴斯基主动防御的检测隐藏驱动安装规则，导致卡巴斯基出现“风险软件”提示。类似这样的行为病毒程序也会使用，目的是达到免杀（不容易被发现）


我总结了一些经验与大家分享下：我这里用QQ炫舞做一个示范
  测试软件：卡巴斯基全功能安全软件
  在游戏第一次运行时，卡巴斯基应用程序过滤，会分析游戏是否有数字签名和是否在卡巴斯基白名单数据库，如果在以上范围内，卡巴斯基将会把游戏放入受信任组。如果不符合上述范围，卡巴斯基将会把游戏放入低受限，那么运行游戏后就会出现一个提示框，如下图：

我们只需要选择添加到排除就可以了。出现这个提示框时，一定要了解你正在运行的程序是什么，虽然很多都是游戏的行为，但也有例外，我曾就下载过一个叫“死亡时钟”的软件当时用卡巴扫描正常，运行后，卡巴就弹出了类似的提示，被我隔离了，后来经过上报，被官方认定为灰鸽子，所以这样的提示框不要小视。这里告诉大家一个识别方法：如下图：

添加到排除后，由于游戏已经将自身隐藏起来，卡巴斯基就不知道是什么东西在隐藏安装驱动，所以就会出现一个只能选择“允许”的提示框，如本次测试的QQ炫舞还有跑跑卡丁车等等都会出现

目前很多正规游戏都有数字签名，卡巴斯基也把很多游戏加入了白名单，所以大部分游戏都不会出现图2的情况，因为，卡巴斯基主动防御不监控具有数字签名和白名单的程序，所以，大部分网游都会出现上图的提示。
遇到这样的情况，很麻烦，我们可以自己设置规则来去掉这个提示，如下图：


按上图记住驱动的路径。然后打开卡巴斯基的设置——威胁和排除——信任区域——排除规则——选择添加来添加规则——去掉对象的钩，选择威胁类型：

在输入威胁名称的上面填写“Suspicious driver installation”也就是隐藏下载驱动的英文，在下面的高级设置填写刚才记录的路径，QQ炫舞下载的路径就是“C:\WINDOWS\SYSTEM32\TESSAFE.SYS”（均为大写）如下图


这样卡巴斯基就不会出现未知程序隐藏下载驱动了！

crjjide

安全部队怎么设置啊

whuangjin2

感谢分享.学习啦.

shiwuwan

确实是值得学习的，辛苦了

chengyi

我是ＫＩＳ２０１１的。

媚_妩

木有管，不过谢谢您分享

909648907

感谢分享

sharks

谢谢楼主经验共享！

flczzhang

高手 受教了

aqcn

多谢。嘿嘿。看看！