火绒高级威胁防护规则

boriswen

WPS从网盘上下载东西被阻止了，怎么办？

boriswen

触犯规则：[结束]勒索行为防护.A.00
操作类型：【创建】
操作文件：C:\Users\Boriswen\Documents\WPS Cloud Files\.307361598\cachedata\C2A5BA6FD0204928A3A6DA2E71297C08\第1单-T系列UDAKR投产单2023.03.22(3)的副本.xls.kdtmp
操作结果：已阻止

进程ID：14112
操作进程：D:\Users\Boriswen\AppData\Local\Kingsoft\WPS Office\11.1.0.13703\office6\wpscloudsvr.exe
操作进程命令行："D:\Users\Boriswen\AppData\Local\Kingsoft\WPS Office\11.1.0.13703\office6\wpscloudsvr.exe" /qingbangong /start_from=kstartpage silentautologin
父进程ID：2908
父进程：D:\Users\Boriswen\AppData\Local\Kingsoft\WPS Office\11.1.0.13703\office6\wps.exe
父进程命令行："D:\Users\Boriswen\AppData\Local\Kingsoft\WPS Office\11.1.0.13703\office6\wps.exe" /prometheus /fromksolaunch /from=startmenu

YorkWaugh

1. 触犯规则：Suspicious.PowerShell.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：11036
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行：C:\WINDOWS\system32\cmd.exe /d /s /c "chcp 65001|powershell -command "chcp 65001|Out-Null;Add-Type -AssemblyName PresentationCore;$families=[Windows.Media.Fonts]::SystemFontFamilies;foreach($family in $families){$name='';if(!$family.FamilyNames.TryGetValue([Windows.Markup.XmlLanguage]::GetLanguage('zh-cn'),[ref]$name)){$name=$family.FamilyNames[[Windows.Markup.XmlLanguage]::GetLanguage('en-us')]}echo $name}""
   
9. 父进程ID：14668
   
10. 父进程：D:\Program Files\lx-music-desktop\lx-music-desktop.exe
    
11. 父进程命令行："D:\Program Files\lx-music-desktop\lx-music-desktop.exe"

复制代码

https://github.com/lyswhut/lx-music-desktop

Jerry.Lin

YorkWaugh 发表于 2023-3-27 03:39
https://github.com/lyswhut/lx-music-desktop

cmd->ps->query info

手动加下排除

我在考虑要不要删除cmd->ps的规则，虽然不是很经常但是也有少部分软件会这么用，然后火绒又没办法匹配命令行

Jerry.Lin

boriswen 发表于 2023-3-23 20:18
触犯规则：[结束]勒索行为防护.A.00
操作类型：【创建】
操作文件：C:%users\Boriswen\Documents\WPS Clo ...

后续修复

boriswen

Jerry.Lin 发表于 2023-3-27 23:26
后续修复

大概几时可以啊？

petr0vic

v0.1.10
更新日志

• 修复 Ransom.DoubleExt.A 规则对于WPS的误报
• 调整 Suspicious.PowerShell.A 规则
• 调整 Suspicious.ScriptHost.A 规则
• 调整 Suspicious.AppCertDLLs.A 规则，默认不启用
  

https://github.com/JerryLinLinLi ... eleases/tag/v0.1.10

yuzhi3366853

支持，迅速更新

闻雷

petr0vic 发表于 2023-4-9 15:59
v0.1.10
更新日志

上一版 1292楼反馈的问题还是没有修正
https://bbs.kafan.cn/forum.php?m ... 20&pid=52484393

qingyangxpc

我把131页的帖子全部翻阅了一遍
说实话，规则很强大，但是也是需要一定基础的，先下载了，安装上，边用边学习。