Aloento

火绒剑 成功把 迈克菲 删掉了

  •  1
     
  •   Aloento · Sep 15, 2022 · 8838 views
    This topic created in 1521 days ago, the information mentioned may be changed or developed.
    背景:公司发的电脑,强制入 AD 域,自带统一管理的企业版迈克菲。之前因为迈克菲自己抽风导致 Anyconnect 无法检测迈克菲运行状态,所以现在不要求迈克菲运行就可以加入公司内网。

    需求:运行我自己写的一些有一些“高危”操作(在迈克菲看来,但是实际上只是调用了一些底层 Win32API )的效率工具。我真的是连调试都调试不了我的代码,一生成产物就被光速删除,有时候运气好刚刚启动就被删除。

    经过:
    我尝试了许多办法,直接改注册表有保护,改启动项也有保护,常规删除更不可能
    用 PsExec 的话由于在域里面,完全无法注入 key ,提示网络找不到,也没戏
    PE 也进不了,有 UEFI 保护,还有 BitLocker

    在走投无路的时候想到了曾经 360 的以毒攻毒方法,就想能不能用另外一个杀毒软件来干掉迈克菲呢
    然后我就下了我经常用的火绒,打开火绒剑

    最初是尝试结束任务,无果
    修改注册表,启动项都有防护,我就一咬牙(大不了就是回公司重装系统),强制删除了迈克菲的几个服务程序
    重启

    然后迈克菲就跟我说再见了(虽然还是有迈克菲的驱动残留,但是防护功能已经废了)
    火绒你好!
    39 replies  •  2022-12-10 23:41:25 +08:00
    ysc3839
    ysc3839
    Sep 15, 2022 via Android
    1
    有签名就不防吗?也许可以试试 PCHunter ,不过免费版似乎比较久没更新了。
    mxT52CRuqR6o5
    mxT52CRuqR6o5
    Sep 15, 2022 via Android
    2
    @ysc3839 驱动之间的东西如果互相对抗,很可能把电脑搞崩的
    PMR
    PMR
    Sep 15, 2022 via Android
    3
    任何进程都能被 kill
    Windows 最高权是 driver inject kernel-mode
    levelworm
    levelworm
    Sep 15, 2022 via Android
    4
    好奇一把楼主写的什么工具
    PogOnion
    PogOnion
    Sep 15, 2022
    5
    不能说楼主闲得无聊,只能说公司卡的太严
    snw
    snw
    Sep 15, 2022
    6
    @ysc3839
    说到签名过白,想起前段时间黑客用带签名的米哈游反作弊驱动杀掉杀毒软件
    JensenQian
    JensenQian
    Sep 15, 2022 via Android❤️1
    7
    来个大数字,都得被关
    AS4694lAS4808
    AS4694lAS4808
    Sep 15, 2022 via Android
    8
    可以加排除文件或者文件夹吧?我司也一样,python 写的脚本一运行就被干掉,后来找 it 申请加的签名白名单,就很烦
    linuslv
    linuslv
    Sep 15, 2022
    9
    应该向公司申请不使用 McAfee ,毕竟影响自身工作了。
    tankren
    tankren
    Sep 15, 2022
    10
    @PogOnion 不够严,居然还能自己下载 exe 并管理员执行
    melsp
    melsp
    Sep 15, 2022 via Android
    11
    哇塞,企业版迈克菲😨
    king888
    king888
    Sep 15, 2022
    12
    插楼问下,也是火绒,经常莫名其妙毫无提示的直接干掉本地 frpc 进程并删除文件,一脸懵逼,查了 windows 安全中心保护记录记录,火绒隔离区 /安全日志毫无记录

    真一脸懵逼...
    maskerTUI
    maskerTUI
    Sep 15, 2022
    13
    迈克菲的防护确实是太多误报了,我是用 pe 进去系统直接删文件的。
    peasant
    peasant
    Sep 15, 2022
    14
    @king888 frpc 很多杀毒软件都提示有毒吧,就算不装杀毒软件,windows 自带的都会阻止 frpc 运行,只能设置排除才能安稳运行
    king888
    king888
    Sep 15, 2022
    15
    @peasant 没有任何提示就杀掉了,一脸懵逼
    king888
    king888
    Sep 15, 2022
    16
    加白名单也会干掉
    thtznet
    thtznet
    Sep 15, 2022
    17
    加了 AD 还能自己装软件,那么意义何在?
    bitllion
    bitllion
    Sep 15, 2022
    18
    @king888 火绒+frp 稳定运行一年了,没出任何问题,是不是你没有把 frp 放到 service 里?
    huangsijun17
    huangsijun17
    Sep 15, 2022
    19
    备份系统后拿微软的 Autoruns 去删掉各类“启动项”即可。一般你搜索麦咖啡的签名上的公司名,就能列出所有。
    https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
    virusdefender
    virusdefender
    Sep 15, 2022
    20
    驱动层的对抗没啥意义,所以大家都不咋处理
    Deteriorator
    Deteriorator
    Sep 15, 2022
    21
    迈克菲可以通过专门的软件完整地卸载掉
    rb6221
    rb6221
    Sep 15, 2022
    22
    这种事不是找公司 IT 部门解决吗,至于费这么大工夫
    TtTtTtT
    TtTtTtT
    Sep 15, 2022
    23
    所以已经不在本机上开发代码了。
    前几天还以为麦咖啡被删了,没想到是换了个 logo 。
    chioplkijhman
    chioplkijhman
    Sep 15, 2022
    24
    公司 IT 遇到自己“解决问题”的人会觉得很。。至少不会夸你。
    qeqv
    qeqv
    Sep 15, 2022
    25
    @chioplkijhman 笑死,我有一次自己重装系统被 IT 喷了
    xingtian
    xingtian
    Sep 15, 2022
    26
    小伙子你该不会是 hisense 公司的吧?@Aloento
    PogOnion
    PogOnion
    Sep 15, 2022
    27
    #10 应该设计成从电脑导入导出文件需求授权 XD
    lonenol
    lonenol
    Sep 15, 2022
    28
    我们公司也是内置迈克菲。。。。不知道这软件是怎么占领企业的。。
    abolast
    abolast
    Sep 15, 2022
    29
    删得好,感觉这个迈克菲比 360 毒霸还要恶心
    cjpjxjx
    cjpjxjx
    Sep 15, 2022
    30
    @qeqv 以前我当 IT 的时候,有人自作聪明用一些骚操作把加域的电脑退域了,然后登不上账号了又来找我
    WOLFRAZOR
    WOLFRAZOR
    Sep 15, 2022
    31
    內置 Mcafee 。之前試過內置的就有 Symantec ,360 ;還有安天。安天不給卸載,因為會有人來檢查。
    Symantec 和 360 都是重裝抹掉,懶得卸載(那時候卸載了也沒問題,不像現在用安天這麼麻煩)
    HFX3389
    HFX3389
    Sep 15, 2022
    32
    @cjpjxjx #30 不能用本地账户吗
    Aloento
    Aloento
    OP
    Sep 15, 2022
    33
    @AS4694lAS4808 没有这个功能,我们的迈克菲连用户界面都调不出来,完全静默,托盘图标都没有

    @linuslv @janus77 部门没权限单独关掉某个人的杀毒软件,只能让我们自己想办法解决

    @maskerTUI 我们 PE 进不去呀哎

    @thtznet 我申请了 local admin 权限,挺麻烦的层层审批,但是申请到了意思就是你随便弄吧

    @Deteriorator 细说?

    @xingtian 不是

    @lonenol @abolast 廉价授权,利益交换。美团用的卡巴斯基呢

    @HFX3389 本地账户也被域策略组控制,不知道有没有办法破解策略组限制
    Deteriorator
    Deteriorator
    Sep 15, 2022
    34
    @Aloento 网上搜一下就有,我当时是我们公司的 IT 给的专门的软件卸载掉的
    abc8678
    abc8678
    Sep 16, 2022 via Android
    35
    @snw 当年学易语言的时候,一生成就被 360 删。然后在网上找了一个数字签名克隆工具,把国内其他公司的签名套上去就不报毒了。但苹果的签名克不到
    mikywei
    mikywei
    Sep 16, 2022
    36
    然后 Anyconnect 思科 sslvpn 策略改回来,要求是使用迈克菲才能连接公司内网,又得装回来哈哈。
    akakidz
    akakidz
    Sep 16, 2022
    37
    事实证明门锁只能防住好人😂当公司安全性达到标准程度,再加大力度导致的结果就是恶心自己人
    Aloento
    Aloento
    OP
    Dec 10, 2022
    39
    @mikywei 后面确实改了,需要 McAfee agent 运行,但是不要求主程序运行
    所以装了一个壳子,但是里面的服务全部都是 disabled

    @Autonomous 您似乎很聪明
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1021 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 80ms · UTC 19:03 · PVG 03:03 · LAX 11:03 · JFK 14:03
    ♥ Do have faith in what you're doing.