Ne görüyorsun
İndirme kayboluyor ya da w0a bir kez çalıştıktan sonra ortadan kalkıyor ve güvenlik yazılımın Trojan:Win32/Wacatac veya genel bir HackTool / PUA etiketi bildiriyor.
Neden oluyor
Bir optimizasyon aracı, tasarımı gereği, zararlı yazılımların da yaptığı birkaç şeyi yapıyor: makine geneli kayıt defteri ayarları yazıyor, servisleri değiştiriyor, güç planlarını düzenliyor ve Explorer'ı yeniden başlatıyor. Davranışa bakan tespit, niyeti eylemden ayıramaz; bu yüzden davranış üzerinden puanlayan araçlar bu yazılım kategorisinin tamamını işaretliyor.
Genel isimler ipucudur. Wacatac, Zusy, Score, HackTool, PUA ve .gen ile biten her şey sezgisel kovalardır — belirli, bilinen bir tehdidin teşhisi değil.
Hemen istisna ekleme — önce doğrula
"Yanlış alarm, izin ver'e bas" cümlesi, gerçek bir zararlı yazılımın da duymanı isteyeceği cümledir. Önce kontrol et, sonra karar ver:
Dosyanın Özellikler penceresindeki Dijital İmzalar sekmesi, bir imza olup olmadığını ve kimin adına olduğunu gösterir; orada başka birinin adı yazıyorsa durmak için yeterli sebeptir. Her durumda imza, dosyanın yayınladığımız sürümün ta kendisi olduğunu söyleyemez. Kararı hash kontrolü verir:
- Dosyanın SHA-256 değerini indirme sayfamızda yayınlanan değerle karşılaştır:
Get-FileHash .\w0a-*.exe -Algorithm SHA256- Tutuyorsa dosya, yayınladığımız dosyanın bayt bayt aynısıdır ve yolda kimse ona dokunmamıştır.
Hash tutmuyorsa tespit o dosya hakkında haklı olabilir. Sil ve w0a.app üzerinden yeniden indir.
Doğruladıktan sonra
Güvenlik yazılımında yalnızca bu dosyaya izin ver — hash'ini az önce doğruladığın dosyanın kendisine; bir klasörün ya da sürücünün tamamına değil. Her araç farklı adlandırıyor; "İzin verilen tehditler", "Geri yükle ve cihazda izin ver" ya da "İstisnalar" gibi bir yer ara.
Windows Defender: Windows Güvenliği → Virüs ve tehdit koruması → Koruma geçmişi üzerinden öğeyi geri yükle, sonra Ayarları yönet → Dışlamalar ile (Klasör değil Dosya seçerek) tekrar alınmasını engelle.
Tespitleri neden tamamen durdurmuyoruz
Durduramayız. Üreticiler davranışa puan veriyor ve bu ürünün davranışı bu. Yapabileceğimiz şey dosyayı doğrulanabilir kılmak — asıl seni koruyan kısım da bu: sen indirmeden önce yayınladığımız ve dosyanın bizim gönderdiğimiz dosya olduğunu kanıtlayabileceğin bir hash.
Hash'i tutan bir dosyada tespit ısrar ediyorsa uyarıyı üreticiye yanlış alarm olarak bildir — çoğunun bir gönderim sayfası var — ve bize yaz: hangi araç, hangi isimle.
İlgili
Bu sayfa yardımcı oldu mu?
Eksik olan neydi, ya da ne işe yaramadı? Bunların hepsini okuyoruz.
Bu sayfa sorununu çözmediyse bize yaz — hangi makaleyi okuduğunu da ekle, o makaleyi düzeltelim.