[技巧] 去除未知应用程序隐藏下载驱动的方法 卡巴, 外挂, 规则, 游戏, 排除

抑郁使者

目前国内很多网络游戏都安装了反外挂功能，这些反外挂程序都有一个共通性，就是将自身隐藏起来安装反外挂驱动。而这种行为触发了卡巴斯基主动防御的检测隐藏驱动安装规则，导致卡巴斯基出现“风险软件”提示。类似这样的行为病毒程序也会使用，目的是达到免杀（不容易被发现）

我总结了一些经验与大家分享下：我这里用QQ炫舞做一个示范
  测试软件：卡巴斯基全功能安全软件
  在游戏第一次运行时，卡巴斯基应用程序过滤，会分析游戏是否有数字签名和是否在卡巴斯基白名单数据库，如果在以上范围内，卡巴斯基将会把游戏放入受信任组。如果不符合上述范围，卡巴斯基将会把游戏放入低受限，那么运行游戏后就会出现一个提示框，如下图：


我们只需要选择添加到排除就可以了。出现这个提示框时，一定要了解你正在运行的程序是什么，虽然很多都是游戏的行为，但也有例外，我曾就下载过一个叫“死亡时钟”的软件当时用卡巴扫描正常，运行后，卡巴就弹出了类似的提示，被我隔离了，后来经过上报，被官方认定为灰鸽子，所以这样的提示框不要小视。这里告诉大家一个识别方法：如下图：

  添加到排除后，由于游戏已经将自身隐藏起来，卡巴斯基就不知道是什么东西在隐藏安装驱动，所以就会出现一个只能选择“允许”的提示框，如本次测试的QQ炫舞还有跑跑卡丁车等等都会出现

目前很多正规游戏都有数字签名，卡巴斯基也把很多游戏加入了白名单，所以大部分游戏都不会出现图2的情况，因为，卡巴斯基主动防御不监控具有数字签名和白名单的程序，所以，大部分网游都会出现上图的提示。
遇到这样的情况，很麻烦，我们可以自己设置规则来去掉这个提示，如下图：

按上图记住驱动的路径。然后打开卡巴斯基的设置——威胁和排除——信任区域——排除规则——选择添加来添加规则——去掉对象的钩，选择威胁类型：

在输入威胁名称的上面填写“Suspicious driver installation”也就是隐藏下载驱动的英文，在下面的高级设置填写刚才记录的路径，QQ炫舞下载的路径就是“C:\WINDOWS\SYSTEM32\TESSAFE.SYS”（均为大写）如下图

这样卡巴斯基就不会出现未知程序隐藏下载驱动了！

胖胖

这个好细呀,我一定要学会,谢谢呀

dianshixs

纯支持! 目前还没有遇到!

tylw-163

看一看。。。

天狼马

咳
只要是隐藏的东西就可能有问题
一律格杀

点点风铃

好好学习,的确强大;

咖啡果

太有用了，多谢楼主，

王凌力

好麻烦的啊，看看再用用哦

王凌力

还没有遇到此种情况，

aqdxcb

用过的汉化软件出现过这类提示，我一般是选择删除------因为，不能确定汉化的作者是不是添了什么东西。

雷神毽

多谢楼主分享

fengzhihai898

学习了。写的挺细的，多谢！

lwu186

以前遇到过这样的问题，这下比较清楚了，谢谢楼主！

woshijiqiren

支持啊，很棒

sherr8018

好东西 现在还没有未知程序 以前有过 下次再遇上就知道怎么弄了

WANGTHRU

学到了。对卡巴的认识越来越深刻了。

3486888

咳
只要是隐藏的东西就可能有问题
一律格杀
天狼马 发表于 2009-4-13 13:07

这个可不一定哦！有写正常的也这样的

a252935119a

嗯，不错吖！

yky880409

领教了，支持一下。