如何将 EICAR 测试文件与我们的产品配合使用

技术文章 ID: KB59742
上次修改时间: 2023-05-12 11:46:40 Etc/GMT

环境

Endpoint Security （ENS）威胁防护 10.x
VirusScan Enterprise （VSE） 8.8

适用于计算机防病毒研究（EICAR）的欧洲协会（）反恶意软件测试文件

摘要

EICAR 开发了 EICAR 恶意软件测试文件。EICAR 测试文件是合法的 DOS 程序，它被防病毒软件检测为恶意软件。当测试文件成功运行时（如果未检测到并被阻止），它会将消息 "EICAR-STANDARD-ANTIVIRUS-TEST-FILE!"

输出有两种方法可获取标准的 EICAR 测试文件：

直接从 EICAR 网站下载该文件。
使用文本编辑器创建文件：
1. 打开文本编辑器（如记事本）。
2. 将以下字符串复制到新文件中：
  
  X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
  
  注意: 第三个字符是大写字母 "O"，而非数字零。
3. 将文件保存为 eicar.com 。

使用 EICAR 测试文件来验证安全软件是否正常工作有多种方法。

注意：

如果您使用 EICAR 测试文件，请务必注意，虽然您可以检测并阻止或隔离该文件，但无法将其清除。原因是 EICAR 文件不包含任何 "real" 病毒代码。EICAR 测试文件旨在使大多数防病毒产品对其作出反应，就像它是真正的病毒一样。但是，清理 EICAR 文件的任何尝试都将失败。此行为与预期一致。
在以上述68字符开头的任何文件中检测到 EICAR 测试字符串，其长度正好为68字节。修改或添加字符串/文本可能会导致检测不到测试文件。

内容
单击以展开要查看的部分：

验证按访问扫描程序是否正常工作

要验证按访问扫描程序是否正常工作，请禁用按访问扫描。然后，将 EICAR 测试文件复制到您的系统，然后尝试运行它。

禁用按访问扫描。

注意: 此过程会有所不同，具体取决于您的操作系统和产品。请参阅适用于您的软件的相应产品手册。

有关产品文档，请转至产品文档门户。
保存或创建 EICAR 测试文件的副本。
启用按访问扫描。
尝试启动 EICAR 文件。

如果按访问扫描程序运行正常，则会被检测为恶意软件。

验证按需扫描程序是否正常工作

要验证您的按需扫描程序是否正常工作，请将 EICAR 测试文件复制到您的系统。然后，在其上运行右键单击扫描。

保存或创建 EICAR 测试文件的副本。
启用按需扫描。
右键单击 EICAR 文件，然后从弹出窗口菜单中选择 扫描威胁 。

如果按需扫描程序运行正常，则会被检测为恶意软件。

验证发送时电子邮件扫描程序是否正常工作

要验证您的发送时电子邮件扫描程序是否正常工作，请使用 Telnet 实用工具。使用 Telnet 将 EICAR 测试字符串发送给已知收件人。如果您尝试从您的本地邮件客户端中发送包含 EICAR 测试字符串的电子邮件，则防病毒软件会检测并阻止该测试字符串。

按 Windows + R，键入 cmd ，然后按 Enter。
键入 telnet 25 （其中是您的邮件服务器或提供程序的 SMTP （传出）服务器的名称，然后按 Enter。
键入 HELO 或 "EHLO " 按 Enter 键。
键入 MAIL FROM:you@server.com 并按 Enter 键。您会收到以下响应：250 ok
键入 RCPT TO:yourname@yourserver.com 并按 Enter 键。您会收到以下响应： 250 ok
键入 DATA 并按 Enter 以写入消息。
在第一行中，键入 SUBJECT:yoursubject 并按两次 enter。
键入您的消息，在此例中为 EICAR 测试字符串，然后按 Enter：

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
在一行上单独键入单个句号（.），然后按 Enter 以发送您的消息。您会收到类似以下示例之一的响应：
- Message accepted for delivery
- 250 OK id=`a long id`
要退出 Telnet，请键入 QUIT 并按 Enter 键。

如果发送时电子邮件扫描程序运行正常，则会被检测为恶意软件。

验证 VSE 文件夹排除项是否正常工作

要验证是否正确配置了 VSE 排除项，请将 EICAR 文件复制到一个已排除的文件夹，然后尝试运行它。有关 VSE 中排除项的详细信息，请参阅 KB50998-如何使用通配符管理文件和文件夹排除项。

禁用访问保护规则以防止停止我们的服务：
1. 单击启动、程序、 McAfeeVirusScan 控制台。
2. 右键单击 " 访问保护 "，然后选择 " 属性"。
3. 单击 访问保护 选项卡。
4. 在左下角，取消选择 禁止停止 McAfee 服务。
5. 依次单击应用和确定。
停止 McShield 服务：
1. 按 Windows + R，键入 services.msc ，然后单击确定。
2. 右键单击 McAfee McShield ，然后选择停止。
将副本 EICAR.COM 保存到本地硬盘。
复制 EICAR.COM 到您要测试的每个已排除的文件夹。
启动 McShield 服务：
1. 按 Windows + R，键入 services.msc ，然后单击确定。
2. 右键单击 McAfee McShield ，然后选择启动。
3. 关闭服务 "窗口。
运行 EICAR.COM ：
1. 浏览到已复制到的 EICAR.COM 每个文件夹。
2. EICAR.COM在每个排除的文件夹中双击。如果排除项配置正确， EICAR.COM 则会运行而不会被检测到。您也可以通过在非排除位置运行文件来验证是否检测到所使用的 EICAR 示例，来验证此结果。VSE 会将其检测 EICAR.COM 为病毒并防止其执行。
重新启用访问保护规则以防止停止我们的服务：
1. 单击启动、程序、 McAfeeVirusScan 控制台。
2. 右键单击访问保护并选择属性。
3. 单击 访问保护 选项卡。
4. 在左下角，选择 禁止 McAfee 服务被停止。
5. 依次单击应用和确定。
6. 关闭 VirusScan 控制台。

验证反间谍软件组件或加载项是否正常工作

要测试您的防间谍软件是否正常工作，请创建一个 EICAR-PUO 测试文件。EICAR-PUO测试文件的工作方式与标准 EICAR 测试字符串相同。但是，反间谍软件会将其检测为可能有害的程序，而不是病毒。

创建 EICAR-PUO 测试文件：

打开文本编辑器（如记事本）。
将以下字符串复制到新文件中：

X5]+)D:)D<5N*PZ5[/EICAR-POTENTIALLY-UNWANTED-OBJECT-TEST!$*M*L
选择文件、保存。
键入文件名，然后单击保存。

注意：
- 为使文件易于识别，技术支持建议您将文件另存为 EICAR-PUO.COM 。保存的文件大小约为 68 –70个字节。
- 标准 EICAR 检测的所有功能对 EICAR-PUO 均为 true。
- EICAR-PUO测试文件在测试类别下以与标准 EICAR 测试文件相同的方式进行标识。
- EICAR-PUO 是反间谍软件测试文件。因此，您必须启用潜在有害程序检测，才能成功。

验证 ENS 反恶意软件扫描接口（AMSI）扫描是否正常工作

要验证 AMSI 扫描是否正常工作，请在 ENS 策略中启用 AMSI，并在系统上运行 EICAR PowerShell 命令。。

注意: AMSI 仅适用于支持它的操作系统（例如，Windows 10 和 Windows 服务器2016）。

启用 ENS 中的 AMSI 集成。
启动 PowerShell 并运行以下命令。：

powershell echo '"X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*"'
验证是否针对威胁触发了检测项： EICAR!ams!XXXXX

验证 ENS ScriptScan 扫描是否正常工作

要验证 ScriptScan 扫描是否正常工作，请在 ENS 策略中启用 ScriptScan，并创建一个 EICAR HTML 文件：

在 ENS 策略中启用 ScriptScan。
启用浏览器中的 ScriptScan 插件。
打开文本编辑器（如记事本）。
创建一个 eicar.html 文件。在文件中添加以下内容：

注意: 修改 HTML 中的来源路径。引用创建位置 eicar.html （例如 C:\temp\eicar.html ）。

<!DOCTYPE html>
<html>

<head>
<script type='text/javascript' src='file:///C:/temp/eicar.js'></script>
</head>
<body>
<h1>An Eicar Test</h1>
<p id="demo">Click the button</p>
<button type="button" onclick="eicar()">Try it</button>

</body>
</html>
在的按访问扫描策略 eicar.js 中创建排除项。如果未创建排除项，按访问扫描会检测到 EICAR 而不是 ScriptScan。
打开文本编辑器（如记事本）。
eicar.js在中 C:\temp 创建文件。在文件中添加以下内容。

function eicar() {
alert("X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*");
}
打开 Internet Explorer 并打开 C:\temp\eicar.html 。单击尝试。
验证是否显示弹出窗口消息。消息状态 "Internet Explorer 限制此网页运行脚本或 ActiveX 控件。"
验证是否针对威胁触发了检测项： JC/Eicar

以前的文档 ID ^(Secured)

613376

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

如何将 EICAR 测试文件与我们的产品配合使用

环境

摘要

相关信息

以前的文档 ID ^(Secured)

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

如何将 EICAR 测试文件与我们的产品配合使用

环境

摘要

相关信息

以前的文档 ID (Secured)

免责声明

受影响的产品

语言:

选择您的区域

Title

Title

以前的文档 ID ^(Secured)