Отключен антивирус касперского. Как определить это программно?

Тема в разделе "WASM.WIN32", создана пользователем amvoz, 22 окт 2017.

  1. amvoz

    amvoz Member

    Публикаций:
    0
    Регистрация:
    12 ноя 2008
    Сообщения:
    640
    Друзья! Есть ли способ на плюсах, например, определить, что антирвирус касперского (конкретнее KIS) отключен? Отключен это значит отключен штатным способом, то есть через панель управления отключаешь его на несколько минут или до перезагрузки. Спасибо, кто откликнется.
     
  2. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    Можно определить из юм факт ядерной фильтрации - тоесть что на сервисы установлен фильтр.

    Узнать что фильтр выключен - в принципе возможно. Но думаю лучше именно через интерфейсы кисы эту инфу получить, так как методы - сложные.
     
    amvoz нравится это.
  3. amvoz

    amvoz Member

    Публикаций:
    0
    Регистрация:
    12 ноя 2008
    Сообщения:
    640
    Indy_, чё-нибудь пороще нужно. "Юм факт ядерной фильтрации"... Гм. Ну, в общем,попроще что-нибудь хотелось бы.
     
  4. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.242
    попроще: если каспер прописывается в SecurityCenter2, то можно спросить у WMI, там вроде было поле о том, включен ли антивирусный продукт или выключен...
     
    amvoz нравится это.
  5. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    amvoz,

    К примеру снять тайминг на разных сервисных аргументах. Я бы в эту сторону смотрел(av-фильтр примитивен, он не скрывает свою активность). Эта идея может быть просто развита и реализована. Или принять что ядерный фильтр конкретного ав есть некоторый обьект, который выполняет выборки в память, есть куча способов обнаружить эту активность. В самом примитивном случае сбросить рабочий набор и вызвать фильтр. В wsw логе будут адреса км фильтра ав.
     
  6. zerodawn

    zerodawn Member

    Публикаций:
    0
    Регистрация:
    16 янв 2018
    Сообщения:
    94
    Можно чекать дату последнего обновления баз. Они лежат в файле и можно прочитать время модификации


    Из забавного:

    Как-то на соседнем борде недавно предложили универсальную определялку. Дропать eicar файл через cmd.exe /c <eicar> > 1 и последующим удалением, если DeleteFile возвращает ERROR_ACCESS_DENIED, то антивирус в системе работает успешно :)

    Костыльно, но забавно.