xck

SEP - блокирование запуска со съемных устройств MSI файлов

Опубликовал xck,

В этой теме 1 сообщение

Опубликовано

Здравствуйте,

столкнулся с такой ситуацией.. решил заблокировать запуск MSI файлов со съемных устройств, создаю правило типа - *\*\*\*.MSI, на вкладке Actions если выставить Block Access то MSI файл запускается хотя SEP и сообщает о том что данный файл блокирован, при детальном рассмотрении оказалось что при запуске MSI файла процесс передается установщику msiexec который в свою очередь является дочерним по отношению к explorer.exe соответственно MSI надо "тушить" как процесс? Но если выставить Terminate Process файл действительно не запускается но при этом перезапускается сам Explorer. ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Перейти к списку тем Вопросы по Symantec Endpoint Protection
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS

  • Сообщения

    • santy
      uVS - Тестирование

      От santy · Опубликовано

      RP55, смысл добавления для dll статуса "в автозапуске"? данный dll запускается только в том случае, если запущен исходный exe в образ автозапуска этот файл попадает, в списке загружаемых dll он есть, C:\USERS\POWER\APPDATA\ROAMING\GOOGLEUPDATE.DLL файл проверен при создании образа автозапуска и помечен как "НЕИЗВЕСТНЫЙ". В итоге Uvs присваивает ему статус: АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ DLL по этому статусу можно добавить критерий, чтобы подобные файлики попадали в отсек "ВИРУСЫ и подозрительные" для последующего анализа. (СТАТУС ~ АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ DLL )(1) [auto (0)]  
    • Marina35
      64-битные антивирусы

      От Marina35 · Опубликовано

      Одним вирусом меньше https://dr-world.ru/fbr-zaderjala-komputershika-symevshego-naiti-kluch-k-wannacry/
    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

        По крайне мере некоторые устаревшие версии файла способны запускать любые соответствующие файлы\библиотеки Так например легальный\подлинный файл: GOOGLEUPDATE.EXE  прописывается в автозапуск. В каталог с файлом GOOGLEUPDATE.EXE помещается файл:  GOOPDATE.DLL Файл:  GOOPDATE.DLL  не имеет подписи - или подписан левым сертификатом и может иметь статус скрытый\системный и т.д. Таким образом файл GOOPDATE.DLL в автозапуске... А вот в логах его в автозапуске не будет. ---------- Нужно доработать uVS и считать все файлы: GOOGLEUPDATE.EXE  +++ как находящиеся в автозапуске. Тем более, что случай исключительный.    
    • AM_Bot
      Руслан Рахметов: Мы просто фанатеем от автоматизации ИБ

      От AM_Bot · Опубликовано

      Генеральный директор ГК «ИНТЕЛЛЕКТУАЛЬНАЯ БЕЗОПАСНОСТЬ» Руслан Рахметов рассказал читателям Anti-Malware.ru о рынке SGRC и IRP, истории бренда Security Vision и порассуждал о том, какой должна быть первоклассная SGRC-система. Читать далее
    • Draft
      Делаю чертежи, 3D моделирование

      От Draft · Опубликовано

      подниму темку