Ce pleacă din calculatorul tău, scris în două coloane

Minifilter-ul Malnox (altitudine 321000, port \MalNOXFilterPort) există ca cod real: se compilează, se leagă și trece verificarea semnăturii în build-ul de test. Ce nu avem încă e semnătura oficială: ca să se încarce pe un Windows normal are nevoie de un certificat EV de semnare kernel și de atestare la Microsoft Partner Center. Până atunci, un fișier este oprit imediat după ce apare pe disc, iar procesul care îl ține este oprit odată cu el — nu în momentul deschiderii pentru citire, cu o milisecundă înainte de execuție.

Reputația globală există și e pornită din setări: un hash necunoscut local poate fi întrebat în rețeaua Malnox, iar răspunsul intră în scor. Ce nu poate face încă e să concureze cu bazele care au miliarde de mostre — rețeaua noastră e la început, iar cu ea oprită verdictul se calculează doar din istoricul tău local.

Pachetul propriu de reguli e mic și țintit pe comportamente. Motorul de semnături acoperă restul, dar nu la nivelul unei baze comerciale uriașe. Regulile sunt citibile și extensibile: poți adăuga altele fără să ne ceri voie.

Sandbox-ul desface fiecare payload codificat și analizează ce iese la iveală — până la 8 straturi de codare, în scripturi, macro-uri și, opțional, în binare. Nu rulează fișierul într-o mașină virtuală și nu îi urmărește comportamentul la execuție: un payload care își construiește singur codul la runtime, fără text recognoscibil, trece pe lângă analiza statică — dar dacă ajunge să scrie fișiere sau să cripteze, este prins la execuție de motoarele de comportament și de ransomware guard.

Scanarea de memorie caută în paginile rezidente ale proceselor care rulează aceiași indicatori pe care îi caută și în fișiere — inclusiv în codul construit în memorie, fără să atingă discul. Rezultatul e curățat de zgomot: un nume de funcție importat din kernel32 nu e dovadă, codul injectat e recunoscut după pagina privată executabilă, iar vocabularul de interpretor e judecat pe linia de comandă. Ce rămâne în afara ei: un proces al altui utilizator sau unul protejat de sistem nu poate fi deschis fără driver, și e raportat ca „ignorat”, niciodată ca „curat”.

Malnox citește Secure Boot, integritatea lanțului de boot, VBS, HVCI, KMCI, TPM și ELAM și îți spune exact ce e pornit și ce nu — 8 verificări dedicate. Un bootkit care se instalează înainte de sistemul de operare nu e însă oprit: Malnox pornește odată cu sesiunea ta, nu mai devreme.

Când sute de fișiere sunt rescrise în câteva secunde, Malnox îngheață procesele care rulează din folderele atacate sau care au căile respective în linia de comandă, apoi restaurează copiile de siguranță. Fără driver nu putem citi mânerele de fișier ale altui proces, deci un encryptor care rulează din alt folder și nu își transmite căile prin argumente nu poate fi oprit preventiv — fișierele sunt însă restaurate.

Domeniile din blocklist sunt scrise în fișierul hosts al Windows, pe IPv4 și IPv6, iar cache-ul DNS e golit după fiecare scriere. Browserul nu le mai poate rezolva — asta e blocare reală, nu o etichetă în consolă. Ce nu face: nu inspectează traficul și nu oprește un program care își cunoaște adresa IP și o contactează direct, ocolind rezolvarea de nume. Pentru trafic inspectat integral ar fi nevoie de un driver de rețea semnat, care nu există încă.

Firewall, confidențialitate, USB, exploit protection și vulnerabilități sunt audituri: citesc configurația Windows, o explică și îți spun ce ai de făcut. Nu modifică singure setări de firewall, nu blochează montarea unui stick USB și nu retrag permisiuni de cameră. Reacția automată privește fișierele și procesele, nu setările de sistem. Singura excepție, cu confirmare explicită, e aplicarea unei configurații de mitigări de exploit pentru un executabil ales de tine.