火绒高级威胁防护规则

Jerry.Lin

cyrano1985 发表于 2023-8-14 07:34
还是不行，三个都会弹窗。

【1】2023-08-14 21:32:48,高级防护,自定义防护,EXCEL.EXE触犯自定义防护规 ...

不好意思，之前的有点小问题
可以请你试试这个么，我再改了一下
https://github.com/JerryLinLinLi ... artifacts/861336820

cyrano1985

Jerry.Lin 发表于 2023-8-14 23:34
不好意思，之前的有点小问题
可以请你试试这个么，我再改了一下
https://github.com/JerryLinLinLin/Hu ...

下载不了。。是要登陆才能下的？

Jerry.Lin

cyrano1985 发表于 2023-8-14 09:57
下载不了。。是要登陆才能下的？

cyrano1985

Jerry.Lin 发表于 2023-8-15 00:01

office 2016不弹了，2021还是弹窗。

【1】2023-08-15 00:50:43,高级防护,自定义防护,WINWORD.EXE触犯自定义防护规则, 已阻止

触犯规则：Exploit.MSOffice.E
操作类型：【修改】
操作文件：C:\Program Files\Microsoft Office\root\vfs\ProgramFilesCommonX64\Microsoft Shared\OFFICE16\ai.exe
操作结果：已阻止

进程ID：1576
操作进程：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"
父进程ID：4480
父进程：C:\Windows\explorer.exe
父进程命令行：C:\Windows\Explorer.EXE
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【2】2023-08-15 00:48:22,病毒防护,病毒查杀,全盘扫描, 发现0个风险项目

病毒库时间：2023-08-14 18:53
开始时间：2023-08-15 00:32
总计用时：00:16:09
扫描对象：661382
扫描文件：660815
发现风险：0
已处理风险：0


>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【3】2023-08-15 00:31:48,高级防护,自定义防护,EXCEL.EXE触犯自定义防护规则, 已阻止

触犯规则：Exploit.MSOffice.A
操作类型：【修改】
操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
操作结果：已阻止

进程ID：6992
操作进程：C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE
操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE"
父进程ID：6264
父进程：C:\Windows\explorer.exe
父进程命令行：C:\Windows\Explorer.EXE
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【4】2023-08-15 00:31:38,高级防护,自定义防护,EXCEL.EXE触犯自定义防护规则, 已阻止

触犯规则：Exploit.MSOffice.A
操作类型：【修改】
操作文件：C:\Windows\System32\systray.exe
操作结果：已阻止

进程ID：6992
操作进程：C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE
操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE"
父进程ID：6264
父进程：C:\Windows\explorer.exe
父进程命令行：C:\Windows\Explorer.EXE
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

cyrano1985

Jerry.Lin 发表于 2023-8-14 12:44
hello,
https://github.com/JerryLinLinLin/Huorong-ATP-Rules/suites/15064238806/artifacts/860202539 ...

卸载2021重装2016，重启后开WORD又弹窗了。

【1】2023-08-15 02:01:09,高级防护,自定义防护,WINWORD.EXE触犯自定义防护规则, 已阻止

触犯规则：Exploit.MSOffice.E
操作类型：【修改】
操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
操作结果：已阻止

进程ID：1180
操作进程：C:\Program Files\Microsoft Office\Office16\WINWORD.EXE
操作进程命令行："C:\Program Files\Microsoft Office\Office16\WINWORD.EXE"
父进程ID：5204
父进程：C:\Windows\explorer.exe
父进程命令行：C:\Windows\Explorer.EXE
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

Jerry.Lin

cyrano1985 发表于 2023-8-14 12:02
卸载2021重装2016，重启后开WORD又弹窗了。

【1】2023-08-15 02:01:09,高级防护,自定义防护,WINWORD.E ...

神奇，为啥word会去动powershell

Jerry.Lin

cyrano1985 发表于 2023-8-14 12:02
卸载2021重装2016，重启后开WORD又弹窗了。

【1】2023-08-15 02:01:09,高级防护,自定义防护,WINWORD.E ...

你的office 2021 和2016都是正版的吗

Jirehlov1234

Jerry.Lin 发表于 2023-8-14 18:53
神奇，为啥word会去动powershell

看了一下365最新版确实会碰pwsh。会先试图开C:\Program Files\Microsoft Office\root\vfs\System\WindowsPowerShell\v1.0\powershell.exe，如果不存在，会开C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

Jerry.Lin

Jirehlov1234 发表于 2023-8-14 16:26
看了一下365最新版确实会碰pwsh。会先试图开C:\Program Files\Microsoft Office\root\vfs\System\Windo ...

不过火绒是不是把read attribute 算在修改这个动作里了……还是说是CreateFile……有空研究一下

べ坤

66666666