以下均为我个人的测试经历，不保证严谨，也不保证100%复现；如果想重现测试结果，还请看到帖子、且愿意在我的帖子上花费一点时间的大佬自行重复我的操作。谢谢！

我创建了C:/Test文件夹，并在里面创建了1.txt、2.xlsx、3.docx、4.pptx，用键盘输入的随机字符串填充。卡巴斯基免费版保持默认设置。HitmanPro.Alert已经与卡巴斯基互相添加白名单。

1.用PowerShell执行Get-ChildItem -Path "C:\Test" -Recurse | ForEach-Object { $content = [System.IO.File]::ReadAllBytes($_.FullName); [System.IO.File]::WriteAllBytes($_.FullName + ".enc", $content); Remove-Item $_.FullName}。卡巴斯基弹窗“已阻止”，但文件还是被添加了.enc后缀、原始文件被删除，且.enc文件意外关联到Wireshark（Wireshark以为这是自己的文件），除“1.txt.enc”外的其他文件全部打不开（Wireshark无法识别）。没有触发回滚。删除.enc后缀后，可以恢复原始文件的内容。

2.删除“Remove-Item $_.FullName”后，在C:/Test目录下出现了原始文件的.enc副本。卡巴斯基没有阻止这个操作。

3.我用HitmanPro.Alert进行测试，第1、2次测试均未触发HMPA的CryptoGuard；特别是第2次（仅创建.enc加密文件，不删除原始文件），无论是单奔卡巴斯基、单奔HMPA，还是二者共同防御，都没能阻止这个行为。

综上所述，我（经过AI分析）认为：触发卡巴斯基拦截的是“批量删除原文件”，而不是“批量创建加密文件”；且实际上没能成功拦截“批量删除原文件”这个动作，原始文件还是被PowerShell脚本删除了。

请问：

1.在本次测试中，是不是因为卡巴斯基认为“这不是真正的加密、勒索行为”而意外放行？还是说本次测试“意外触及了”卡巴斯基的“某些盲区”？

2.（仅仅是假设的讨论）万一遇到了真正的勒索，卡巴斯基可以保护我的原始文件吗？

以上只是我个人的一点想法，我对卡巴斯基的防护有信心。再次感谢所有回复本帖的大佬。

原始发帖见百度贴吧：https://tieba.baidu.com/p/10921359295?fr=personpage

Hello，

批量重命名 为什么要拦截？

17 minutes ago, Wesly.Zhang said:

Hello，

批量重命名 为什么要拦截？

您说的对，卡巴斯基确实没必要拦截“批量重命名”。但卡巴斯基没能阻止批量删除（虽然弹窗显示“已阻止”，但原始文件还是消失了）。后者是我想讨论的。

15 minutes ago, OHJ said:

您说的对，卡巴斯基确实没必要拦截“批量重命名”。但卡巴斯基没能阻止批量删除（虽然弹窗显示“已阻止”，但原始文件还是消失了）。后者是我想讨论的。

Hello，

阻止 的应该是 powershell 脚本的运行。你最好用 50-100 个文件看看，因为你才三个文件删除，在阻止发生前，程序都执行好了。

4 minutes ago, Wesly.Zhang said:

Hello，

阻止 的应该是 powershell 脚本的运行。你最好用 50-100 个文件看看，因为你才三个文件删除，在阻止发生前，程序都执行好了。

好的，感谢您的回复。我会按照您的要求进行测试，结果会尽快更新到本帖。

1 hour ago, Wesly.Zhang said:

Hello，

阻止 的应该是 powershell 脚本的运行。你最好用 50-100 个文件看看，因为你才三个文件删除，在阻止发生前，程序都执行好了。

您好，测试结果如下：

卡巴斯基拦截了PowerShell的执行，保护了大约20%的文件。大多数文档还是被加密、源文件被删除。

22 minutes ago, OHJ said:

您好，测试结果如下：

卡巴斯基拦截了PowerShell的执行，保护了大约20%的文件。大多数文档还是被加密、源文件被删除。

原始文本文档是PowerShell（Administrator）执行以下脚本创建的，一共创建150个文本文档，每个编号的文档内填入对应的数字；卡巴斯基保护了59个文档，约占文件总数的39.3%（我为第一次没有计算清楚、误称“只保护了20%的文件”而道歉）。脚本由AI提供。我的CPU是移动端R9 9955HX。
$folderPath = "C:\Test"
if (-not (Test-Path $folderPath)) {
    New-Item -ItemType Directory -Path $folderPath -Force | Out-Null
}
for ($i = 1; $i -le 150; $i++) {
    $filePath = Join-Path $folderPath "$i.txt"
    $i | Out-File -FilePath $filePath -Encoding ascii
}

Edited August 7Aug 7 by OHJ

2 hours ago, Wesly.Zhang said:

Hello，

阻止 的应该是 powershell 脚本的运行。你最好用 50-100 个文件看看，因为你才三个文件删除，在阻止发生前，程序都执行好了。

我用1500个文档进行了相同的测试，卡巴斯基拦截了PowerShell的执行，只加密了120个.enc文件，92%的文件受到保护。这让我看到了卡巴斯基的实力（和“可能的拦截阈值”？），也确实证明我之前的测试不够严谨。感谢您对我的测试方法提出指正。