作者SDUM (Roger)
看板AntiVirus
標題[心得] 有裝ThreatFire的人，請多加一條規則
時間Fri Jun 25 18:48:26 2010
最近，在大陸流行一個感染型病毒，偽裝成QVOD的安裝檔案。
執行之後，會刪除系統服務的重要dll檔案，並替換成病毒的dll檔案。
ThreatFire 內置的行為庫，無法攔截。
請多加一條規則。
advanced tools -> custom rules settings -> New
-----------------------------------------------------
Rule Name:竄改 系統服務 的 重要dll檔案
Rule Description:竄改 系統服務 的 重要dll檔案
Rule:
When any process
tries to write or delete a file
named
appmgmts.dll
browser.dll
es.dll
framebuf.dll
mspmsnsv.dll
netman.dll
ntmssvc.dll
qmgr.dll
regsvc.dll
schedsvc.dll
ssdpsrv.dll
tapisrv.dll
upnphost.dll
xmlprov.dll
in C:\WINDOWS\system32
except when the source process is in the system process list
or the source process is in the trusted process list
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.114.222.131
1F：→ s109612044:請問這條規則comodo有沒有... 06/26 00:04
2F：→ SDUM:COMODO 不需要 06/26 00:31