火绒高级威胁防护规则

YorkWaugh

1. 触犯规则：Suspicious.PowerShell.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：7512
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行：C:\Windows\system32\cmd.exe /d /s /c "PowerShell -Command "$processesWithTypes = Get-WmiObject Win32_Process | Where-Object {$_.Name -like 'Fiddler Everywhere*'} | Select-Object -Property ProcessId, @{Name='Type'; Expression={If ($_.CommandLine -Match '--type=(\S+)') {$Matches[1]} Else {'browser'}}};Get-WmiObject Win32_PerfFormattedData_PerfProc_Process | Where-Object {$_.Name -like 'Fiddler*'} | Select-Object -Property @{Name='type'; Expression={$id = $_.IDProcess; ($processesWithTypes | Where-Object {$_.ProcessId -eq $id}).Type}}, @{Name='processName'; Expression={$_.Name}}, @{Name='pid'; Expression={$_.IDProcess}}, @{Name='cpuUsage'; Expression={$_.PercentProcessorTime}}, @{Name='memoryUsage'; Expression={$_.WorkingSet / 1MB}} | ConvertTo-Json""
   
9. 父进程ID：14264
   
10. 父进程：D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe
    
11. 父进程命令行："D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe"

复制代码

1. 触犯规则：Suspicious.PowerShell.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：1536
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行：C:\Windows\system32\cmd.exe /d /s /c "PowerShell -Command "$processesWithTypes = Get-WmiObject Win32_Process | Where-Object {$_.Name -like 'Fiddler Everywhere*'} | Select-Object -Property ProcessId, @{Name='Type'; Expression={If ($_.CommandLine -Match '--type=(\S+)') {$Matches[1]} Else {'browser'}}};Get-WmiObject Win32_PerfFormattedData_PerfProc_Process | Where-Object {$_.Name -like 'Fiddler*'} | Select-Object -Property @{Name='type'; Expression={$id = $_.IDProcess; ($processesWithTypes | Where-Object {$_.ProcessId -eq $id}).Type}}, @{Name='processName'; Expression={$_.Name}}, @{Name='pid'; Expression={$_.IDProcess}}, @{Name='cpuUsage'; Expression={$_.PercentProcessorTime}}, @{Name='memoryUsage'; Expression={$_.WorkingSet / 1MB}} | ConvertTo-Json""
   
9. 父进程ID：14264
   
10. 父进程：D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe
    
11. 父进程命令行："D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe"

复制代码

zhang_qiabc

挺好的要赞一个

winter_whj

谢谢大佬，这就导入

Jerry.Lin

YorkWaugh 发表于 2022-12-10 19:44

PowerShell is evil

mpx

还是这个规则最好，安静

闻雷

Auto.json  这个规则里，Edge 下是不是多了个 Firefox 的内容？导入后，也确实多了一条。

Jerry.Lin

闻雷 发表于 2023-2-14 06:43
Auto.json  这个规则里，Edge 下是不是多了个 Firefox 的内容？导入后，也确实多了一条。

哦是的，如果介意可以删掉下，后续作修正

闻雷

Jerry.Lin 发表于 2023-2-15 01:34
哦是的，如果介意可以删掉下，后续作修正

感谢回复，顺便请教一下，不少人都是用 Chrome++配合Chrome离线包来组装便携版使用，我也是如此。

路径配置如下图1，那我自动处理里关于Chrome的规则修改为图2所示就行了吧？

Jerry.Lin

闻雷 发表于 2023-2-14 19:04
感谢回复，顺便请教一下，不少人都是用 Chrome++配合Chrome离线包来组装便携版使用，我也是如此。

路 ...

对的。

cyclejp

楼主能帮忙看下这是不是误拦么？ 玩永劫无间时拦截的  2023-03-04 15:22:41,高级防护,自定义防护,cscript.exe触犯自定义防护规则, 已阻止

触犯规则：Suspicious.ScriptHost.A
操作类型：【执行】
操作文件：C:\Windows\System32\conhost.exe
操作结果：已阻止

进程ID：10772
操作进程：C:\Windows\System32\cscript.exe
操作进程命令行：cscript.exe
父进程ID：11412
父进程：C:\Naraka\tool\LootHoarder.exe
父进程命令行："C:\Naraka\tool\LootHoarder.exe"