火绒高级威胁防护规则

sun320925

感谢分享，试一下

xzykgc4mc3

Jerry.Lin 发表于 2022-2-23 03:07
应用程序或者系统里找找

大大，试着在火绒弹窗时点了允许
结果word就会崩溃

在事件里可以看到两项可能相关的错误信息

感觉还是无从排查

1. 错误应用程序名称: WINWORD.EXE，版本: 15.0.5389.1000，时间戳: 0x6140b402
   
2. 错误模块名称: mso.dll，版本: 15.0.5415.1000，时间戳: 0x61b9ed0f
   
3. 异常代码: 0xc0000602
   
4. 错误偏移量: 0x00000000010739b1
   
5. 错误进程 ID: 0x1604
   
6. 错误应用程序启动时间: 0x01d82b17eca6ec3e
   
7. 错误应用程序路径: C:\Program Files\Microsoft Office\Office15\WINWORD.EXE
   
8. 错误模块路径: C:\Program Files\Common Files\Microsoft Shared\Office15\mso.dll
   
9. 报告 ID: 776b8aed-4c0f-4149-bcb7-d4285a6c08e7
   
10. 错误程序包全名:
    
11. 错误程序包相对应用程序 ID:

复制代码

1. 错误存储段 2104969900127419865，类型 4
   
2. 事件名称: APPCRASH
   
3. 响应: 不可用
   
4. Cab Id: 0
   
5. 
   
6. 问题签名:
   
7. P1: WINWORD.EXE
   
8. P2: 15.0.5389.1000
   
9. P3: 6140b402
   
10. P4: mso.dll
    
11. P5: 15.0.5415.1000
    
12. P6: 61b9ed0f
    
13. P7: c0000602
    
14. P8: 00000000010739b1
    
15. P9:
    
16. P10:
    
17. 
    
18. 附加文件:
    
19. C:\Users\用户名\AppData\Local\Temp\CVR6BC4.tmp.cvr
    
20. C:\Users\用户名\AppData\Local\Temp\WERE852.tmp.WERInternalMetadata.xml
    
21. 
    
22. 可在此处获取这些文件:
    
23. C:\ProgramData\Microsoft\Windows\WER\ReportArchive\AppCrash_WINWORD.EXE_b85492a8dcab29b38f1dd877175e4cfe3aa77b_2386eec8_17971454
    
24. 
    
25. 分析符号:
    
26. 重新检查解决方案: 0
    
27. 报告 Id: 776b8aed-4c0f-4149-bcb7-d4285a6c08e7
    
28. 报告状态: 0
    
29. 哈希存储段: c3263237f062367b9d365af8b7fbfdd9

复制代码

guimei

许久不用了，看看

Jerry.Lin

xzykgc4mc3 发表于 2022-2-26 07:56
大大，试着在火绒弹窗时点了允许
结果word就会崩溃

神奇……

鸽子咕啵

求助，是不是自定义规则太严了，屏幕截图都不过

触犯规则：[结束]木马行为防护.D.00
操作类型：【创建】
操作文件：C:\Users\ASUS\AppData\Local\Packages\Microsoft.ScreenSketch_8wekyb3d8bbwe\TempState\{C7D8FAE0-93F9-4FE6-8994-658E861A2D8F}.png
操作结果：已阻止

进程ID：7304
操作进程：C:\Windows\System32\RuntimeBroker.exe
操作进程命令行：C:\Windows\System32\RuntimeBroker.exe -Embedding
父进程ID：1140
父进程：C:\WINDOWS\system32\svchost.exe
父进程命令行：C:\WINDOWS\system32\svchost.exe -k DcomLaunch -p

Jerry.Lin

鸽子咕啵 发表于 2022-2-26 18:08
求助，是不是自定义规则太严了，屏幕截图都不过

触犯规则：[结束]木马行为防护.D.00

啊那就加排除吧

sharks

习惯性好评啊

617969116

感谢分享！

xyfmhk1

谢分享！

yayatt123

感谢LZ分享