KES 11 и KES 10(for XP) удаляют программы добавленные в исключения под упралением KSC 11

[sova69]

Всем добрый день!

на этой неделе (начиная с 06.07.2020) столкнулся с тем что работающая конструкция политик KSC 11.0.0.1131 дала сбой

на KES 10.2.6.3733 на компьютерах с Windows XP

и KES 10.3.3.275 на компьютерах с Windows 7 и 8.1,

а также KES 11.0.0.6499 на компьютерах с Windows 7 и 8.1,

удаляет программы Ammy Admin версий 2.13 и 3.хх

при этом папка где находятся программы (C:\Program Files\AMMYY_admin\) добавлена ,в исключения и сами программы каждый исполняемый файл тоже, в вкладке “Антивирусная защита”->”основные параметры защиты” пункт “исключения и доверенная зона”

куда смотреть еще?

[sova69]

сам kes опознает их как легальная программа, которая может быть использована злоумышленником….

 

[andrew75]

@sova69, покажите как у вас настроено исключение на удаляемый файл. Также покажите подробно детект, с которым он удаляется.

[sova69]

@sova69, покажите как у вас настроено исключение на удаляемый файл. ...

Добрый день!

как было сказано в первом посте папка где лежать программы ammy_Admin разных версий добавлена в исключения проверки

 

[sova69]

@sova69, покажите как у вас настроено исключение на удаляемый файл.

 

сами файлы программ разных версий добавлены в исключения тоже

 

[sova69]

​

@sova69, …... Также покажите подробно детект, с которым он удаляется.

​

 

[andrew75]

@sova69, у вас неправильно задано исключение из проверки в доверенной зоне.

Поле “Название объекта” это название вредоносного объекта по классификации ЛК.

Для Ammy Admin это что-то типа: not-a-virus:RemoteAdmin.Win32.Ammyy.xrp (собственно для этого я и просил у вас отчет с детектом. В том что вы показали названия детекта нет).

В вашем случае в этом поле лучше всего поставить “*”.

 

[sova69]

@sova69, у вас неправильно задано исключение из проверки в доверенной зоне.

Поле “Название объекта” это название вредоносного объекта по классификации ЛК.

Для Ammy Admin это что-то типа: not-a-virus:RemoteAdmin.Win32.Ammyy.xrp (собственно для этого я и просил у вас отчет с детектом. В том что вы показали названия детекта нет).

В вашем случае в этом поле лучше всего поставить “*”.

 

Спасибо помогло