咖啡规则排除的问题（很奇怪的现象）

显示全部楼层 · 发表于 2011-4-27 21:51:55

回复 28楼 TIW 的帖子

是啊，没有任何反应。但是重启就不行了

显示全部楼层 · 发表于 2011-4-27 21:52:50

本帖最后由 TIW 于 2011-4-27 21:53 编辑

回复 29楼 sandyyangjie 的帖子

http://camas.comodo.com/cgi-bin/submit?file=f646aa1b8a499af777e70963f72cbaeb14d84b9f3e72c43e467c00ef64666833

怎么43L和被删那个不一样

显示全部楼层 · 发表于 2011-4-27 21:57:07

回复 32楼 TIW 的帖子

是吗，我去看看。我是在病毒区下载的。要不我再在楼里放一次？

显示全部楼层 · 发表于 2011-4-27 21:57:39

TIW 发表于 2011-4-27 21:52
回复 29楼 sandyyangjie 的帖子

哪一个是43L的？~~

显示全部楼层 · 发表于 2011-4-27 21:57:59

bighead 发表于 2011-4-27 21:57
回复 32楼 TIW 的帖子

是吗，我去看看。我是在病毒区下载的。要不我再在楼里放一次？

别在咖啡区放哈。。。

显示全部楼层 · 发表于 2011-4-27 21:59:32

回复 34楼 sandyyangjie 的帖子

http://camas.comodo.com/cgi-bin/ ... 43e467c00ef64666833

显示全部楼层 · 发表于 2011-4-27 22:01:22

回复 35楼 sandyyangjie 的帖子

http://camas.comodo.com/cgi-bin/ ... 301014348007e2e317b

这是今天mcafee去放出的那一个

显示全部楼层 · 发表于 2011-4-27 22:03:27

回复 37楼 TIW 的帖子

我已经将样本重新放上去了，咖啡版有链接

显示全部楼层 · 发表于 2011-4-27 22:04:00

bighead 发表于 2011-4-27 21:57
回复 32楼 TIW 的帖子

是吗，我去看看。我是在病毒区下载的。要不我再在楼里放一次？

看来比较清楚了，三条规则你试试。

1. 包含：*
排除：C:\Windows\System32\**
目标：**\cmd.exe
操作：读取，执行

2. 包含：*
排除：C:\Windows\System32\**
目标：**\logoff.exe
操作：读取，执行

3. 包含：*
排除：无
目标：*.bat
操作：创建，读取，执行，写入

然后再运行那个病毒，看还能不能起作用~~

显示全部楼层 · 发表于 2011-4-27 22:06:27

回复 39楼 sandyyangjie 的帖子

试一下，第三条邪邪规则其实已经有了，只是没阻止这么多
添加第一条和第二条试试回来汇报我

[求助] 咖啡规则排除的问题（很奇怪的现象）