火绒高级威胁防护规则

guimei

许久不用了，看看

Jerry.Lin

xzykgc4mc3 发表于 2022-2-26 07:56
大大，试着在火绒弹窗时点了允许
结果word就会崩溃

神奇……

鸽子咕啵

求助，是不是自定义规则太严了，屏幕截图都不过

触犯规则：[结束]木马行为防护.D.00
操作类型：【创建】
操作文件：C:\Users\ASUS\AppData\Local\Packages\Microsoft.ScreenSketch_8wekyb3d8bbwe\TempState\{C7D8FAE0-93F9-4FE6-8994-658E861A2D8F}.png
操作结果：已阻止

进程ID：7304
操作进程：C:\Windows\System32\RuntimeBroker.exe
操作进程命令行：C:\Windows\System32\RuntimeBroker.exe -Embedding
父进程ID：1140
父进程：C:\WINDOWS\system32\svchost.exe
父进程命令行：C:\WINDOWS\system32\svchost.exe -k DcomLaunch -p

Jerry.Lin

鸽子咕啵 发表于 2022-2-26 18:08
求助，是不是自定义规则太严了，屏幕截图都不过

触犯规则：[结束]木马行为防护.D.00

啊那就加排除吧

sharks

习惯性好评啊

617969116

感谢分享！

xyfmhk1

谢分享！

yayatt123

感谢LZ分享

xzykgc4mc3

大佬，洒家写了一条规则，阻止火狐升级安装时修改原安装目录下的两个目录下的文件

源程序写成*\temp\*。因为每次双击火狐安装包时会释放exe文件到temp目录，再弹出uac窗口安装
目标文件是下面

1. *\Mozilla Firefox\distribution\policies.json
   
2. *\Mozilla Firefox\browser\features\*
   

复制代码

然后，很奇怪的是明明日志里，有记录阻止修改和删除\Mozilla Firefox\browser\features\下面的xpi文件
但安装完后，又看到火狐features目录下又写入了xpi文件
规则怎么失效了，请问
下面是截取的部分日志

1. 【2】2022-03-11 21:34:18,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
   
2. 
   
3. 触犯规则：modify firefox install
   
4. 操作类型：【删除】
   
5. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat-reporter@mozilla.org.xpi
   
6. 操作结果：已阻止
   
7. 
   
8. 进程ID：4264
   
9. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
   
10. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe" /UAC:70362 /NCRC
    
11. 父进程ID：1932
    
12. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
    
13. 父进程命令行：.\setup.exe
    
14. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
15. 
    
16. 【3】2022-03-11 21:34:18,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
17. 
    
18. 触犯规则：modify firefox install
    
19. 操作类型：【修改】
    
20. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat@mozilla.org.xpi
    
21. 操作结果：已阻止
    
22. 
    
23. 进程ID：4264
    
24. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
    
25. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe" /UAC:70362 /NCRC
    
26. 父进程ID：1932
    
27. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
    
28. 父进程命令行：.\setup.exe
    
29. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
30. 
    
31. 【4】2022-03-11 21:34:18,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
32. 
    
33. 触犯规则：modify firefox install
    
34. 操作类型：【删除】
    
35. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat@mozilla.org.xpi
    
36. 操作结果：已阻止
    
37. 
    
38. 进程ID：4264
    
39. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
    
40. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe" /UAC:70362 /NCRC
    
41. 父进程ID：1932
    
42. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
    
43. 父进程命令行：.\setup.exe
    
44. >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
    
45. 
    
46. 【5】2022-03-11 21:34:17,高级防护,自定义防护,setup.exe触犯自定义防护规则, 已阻止
    
47. 
    
48. 触犯规则：modify firefox install
    
49. 操作类型：【修改】
    
50. 操作文件：C:\Program Files\Mozilla Firefox\browser\features\webcompat-reporter@mozilla.org.xpi
    
51. 操作结果：已阻止
    
52. 
    
53. 进程ID：4264
    
54. 操作进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
    
55. 操作进程命令行："C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe" /UAC:70362 /NCRC
    
56. 父进程ID：1932
    
57. 父进程：C:\Users\用户名\AppData\Local\Temp\7zS05DDA3E1\setup.exe
    
58. 父进程命令行：.\setup.exe
    

复制代码

Jerry.Lin

xzykgc4mc3 发表于 2022-3-11 08:33
大佬，洒家写了一条规则，阻止火狐升级安装时修改原安装目录下的两个目录下的文件

源程序写成*\temp\*。 ...

额这个就不大清楚了