+ Máy tôi đã cài [FireLion] IE Protector những không hoạt động dù đã chọn nút Hoạt động. Tại sao ?
_ Có hai nguyên nhân chính sau:
. Chương trình được thực thi dưới quyền User. Lúc này, chức năng tự bảo vệ sẽ không hoạt động đúng với bản không cần cài đặt. Bản phải sử dụng phiên bản cài đặt để có thể thực thi dưới quyền User
. Chương trình được cài chung với DeepFreeze. Trên nguyên tắc, nếu máy bạn đã cài DeepFreeze rồi thì không phải lo lắng về malware nữa. Tuy nhiên, nếu bạn vẫn muốn [FireLion] IE Protector hoạt động. Bạn phải disable DeepFreeze, dùng bản cài đặt và mở lại (enable) DeepFreeze.
Cho tới phiên bản 3.0. Chúng tôi vẫn chưa có kế hoạch cập nhật để có thể chạy với DeepFreeze vì chỉ cần restart là mọi thứ trở lại như cũ.
 

Tuy nhiên bác Hoàng cũng nên chú ý là các chương trình exe dịch từ AutoIt có size thay đổi liên tục, đôi khi mã nguồn thay đổi có 1 chút xíu, hoặc nâng cấp AutoIt lên version mới rồi compile lại là size nó cũng khác.
 

HKEY_CLASSES_ROOT\exefile\shell\open\command

Uhg, đúng rồi, HKEY_CLASSES_ROOT\comfile\shell\open\command nữa, ...
Sao bạn ko chặn nó nhỉ? Hay là nó có hạn chế gì chăng? 

Bạn thử dùng phiên bản 3.0 xem ? 

Bạn nói chương trình bạn chặn được các khoá Startup, liệu nó có chặn hết thực sự ko?
 

Những chuyện mà mình và bạn chưa nghĩ tới thì nhiều lắm, IEProtector có nhiều điểm ko hiệu quả mà bạn chưa nghĩ tới, vậy bạn nên từ bỏ nó đi, chịu ko?
 

2. Đúng, nhưng ko phải là tất cả, nó chạy tốt hầu hết các chương trình thông dụng(có truyền tham số) và cả một số Control Panel applet. Trong trường hợp bị error, cũng có thể cho user unlock khoá đó rồi chạy chương trình, sau đó lock lại là xong (có thể điều này trong tương lại sẽ khắc phục nếu biết cách truyền tham số của Control Panel Applet).

3. Ko conflict, có chăng là chỉ khiến chương trình bị mất tác dụng. Tuy nhiên, như bạn đã nói, các AV ko làm điều này, user cũng ít làm điều này, vậy thì, conflict nếu có là điều khó xảy ra. Với lại, việc thực thi một file exe, com, reg đều bị chặn lại thì lấy cái gì chạy để mà ghi đè lên tạo ra conflict nhỉ?
 

>Còn lý do nào nữa, bạn nói rõ thử coi.
>Nếu đúng như bạn Sinrale và LeVuHoang đã nói, thì có lẽ, những tay phát triển D32 ko thực sự expert về mặt hệ thống.
Mà bạn nói "expert" là thế nào? Bạn tự nhận là "expert" chăng? Dẫu sao, đây ko phải là chỗ cho bạn nhận xét người này hay người kia "expert" hay ko, bạn cũng chẳng có cái tư cách đó, chỉ là tranh luận đơn thuần về mặt kỹ thuật thôi. Chỉ có ưu điểm, khuyết điểm, đúng, sai ở đây thôi.
 

II. >Cuối cùng, theo bạn, nếu các AV ko làm điều này, giả sử virus làm thì sao nhỉ ?(theo mình biết chỉ riêng AutoIT cũng đã có thừa khả năng ghi đè lên Registry). Liệu có cách nào để tiêu diệt virus một khi nó chiếm hết các khoá trên?
 

Em sẽ down về ngay, nhưng hy vọng không phải để dùng.
 

>Chẳng sao cả, trước mắt các tập tin exe, com nếu bị hạn chế sẽ làm khả năng gặp virus giảm đáng kể, những chỗ khác có thể từ từ nghiên cứu hoàn thiện dần. Bạn nghĩ, "rất nhiều khoá" là bao nhiêu? Theo mình, cái kết quả thu nếu thành công được đáng với công sức bỏ ra.
 

IE Protector của Hoàng hook rất nhiều APIs, nhưng lại bỏ sót các APIs của ntdll.dll như NtCreateProcess,
 

>Nực cười hay ko tui ko bít, với lại tui ko nói là bypass, chỉ là các AV ko thực thi bình thường được, bạn đã thử chưa?
 

"Máy tính của tui dính một chương trình AutoIT lạ hoắc, ko tài nào chạy các AV nói chung và IEProtector một cách bình thường được. Tình cờ phát hiện nó ghi vào registry ở các khóa HKCR\exefile\shell\open\command và một số khoá tương tự. Vậy xin hỏi, có phải đó là nguyên nhân khiến các AV và cả IEProtector hoạt động ko bình thường(ko chạy được)? Nếu phải hay ko phải thì cách khắc phục ra sao?"
 

http://vungtau.vnn.vn/download/download.asp <<tranh thủ quảng cáo tí.
 

Tui chỉ mong sự yên ổn, làm ơn giải thích chữ "xử lý" dùm cho tui an tâm. Nghe cứ như là công an xử lý tội phạm ấy nhỉ. Tui chỉ cần góp ý chứ ko cần xử lý. Mà cũng hay thật, có người tranh thủ qủang cáo trên này thì ko sao, tui mới có lỡ phím chút đỉnh đã bị đòi xử lý rồi. 

Thay vì nhiều khoá như vậy, bạn có thể chặn hàm NtCreateProcess. Chỉ cần 1 hàm cho tất cả. 

>Một lý do có lý, nhưng như vậy đâu có nghĩa là ko xem xét tới đó nữa, ai muốn làm gì thì làm? Như vậy RIÊNG bạn quyết định bỏ mặc mấy cái khoá đó trong IEProtector?
 

>Một lý do có lý, nhưng như vậy đâu có nghĩa là ko xem xét tới đó nữa, ai muốn làm gì thì làm? Như vậy RIÊNG bạn quyết định bỏ mặc mấy cái khoá đó trong IEProtector?
 

>Phân biệt được. Nắm hết từ đường dẫn và tên chương trình sắp thực thi cho tới tham số, chỉ cần "quét" các chương trình đó theo signature y chang như lúc AV quét virus là lòi ra liền, hay thô sơ thì cũng có thể chỉ cần so trùng cái tên là đủ rồi. Lúc này đa số các chương trình vẫn chạy bình thường, riêng các AV là tịt.
 

Chặn NtCreateProcess chỉ hạn chế được một phần lớn thôi, kô phải là cho tất cả, nếu mình thay bằng CreateProcess thì sao? Một điều mình kô chắc vì chưa có dịp tìm hiểu, đó là nếu một ứng dụng viết bằng DOS (dùng Borland C để build ra chẳng hạn) thì sao? Liệu nó có cần API để tạo một process hay kô? Hay là nó chỉ cần chạy trong lòng bộ DOS Compatible Mode thì ok?
 

Mình thì chưa down & dùng IEProtector của Hoàng (do chưa có cơ hội , nhưng nếu Hoàng chỉ nhằm mục đích chặn những ứng dụng AutoIt thì hơi uổng, phải phát triển hơn nữa để nó có thể powerful hơn
 

>Bạn hiểu lầm ý tui, bạn có thể ko chặn, nhưng virus AutoIT có thể chặn. Để giải quyết, tui nghĩ là phải có sự quan tâm tới các khoá đó.
 

Do số lượng chương trình AV thông dụng hiện nay là ít ỏi, nên cập nhật cái "signature" cũng đễ dàng.
 

Không cần phải chặn CreateProcess vì NtCreateProcess là cấp thấp hơn CreateProcess. Nói cách khách, CreateProcessA, CreateProcessW... Đều gọi hàm NtCreateProcess để thực thi 

Không cần phải chặn CreateProcess vì NtCreateProcess là cấp thấp hơn CreateProcess. Nói cách khách, CreateProcessA, CreateProcessW... Đều gọi hàm NtCreateProcess để thực thi 

Ừh, nhưng ZwCreateProcess thì sao? ... Cái CreateProcess này mình có đọc đâu đó, trong đó nó có nhắc đến kernel mode và user mode, khi đó các driver có thể create một process ở mức kernel sử dụng trực tiếp API ZwCreateProcess trong DDK.