收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 国内杀毒软件 › 火绒 › 火绒高级威胁防护规则
1 ...130131132133134135136137... 139下一页
返回列表 发新帖
楼主: Jerry.Lin
 收起左侧

[分享] 火绒高级威胁防护规则

  [复制链接]
KeiTh.
发表于 2023-8-28 19:54:59 | 显示全部楼层
这网盘真慢呀
回复

举报

nasaki
发表于 2023-8-29 17:13:26 | 显示全部楼层
赞
回复

举报

YorkWaugh
发表于 2023-9-7 22:25:02 | 显示全部楼层
本帖最后由 YorkWaugh 于 2023-9-7 22:26 编辑
  1. 触犯规则：Exploit.MSOffice.E
  2. 操作类型：【修改】
  3. 操作文件：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
  4. 操作结果：已允许

  6. 进程ID：14152
  7. 操作进程：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
  8. 操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"
  9. 父进程ID：9848
  10. 父进程：C:\Windows\explorer.exe
  11. 父进程命令行：C:\WINDOWS\Explorer.EXE
复制代码
  1. 触犯规则：Exploit.MSOffice.E
  2. 操作类型：【执行】
  3. 操作文件：C:\Windows\System32\DWWIN.EXE
  4. 操作结果：已允许

  6. 进程ID：11216
  7. 操作进程：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
  8. 操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"
  9. 父进程ID：9848
  10. 父进程：C:\Windows\explorer.exe
  11. 父进程命令行：C:\WINDOWS\Explorer.EXE
复制代码

似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复
Office 365，版本 2308 (内部版本 16731.20170 即点即用)
WINWORD.EXE和DWWIN.EXE我确认了一下，都没有被修改

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

Jerry.Lin
 楼主| 发表于 2023-9-7 23:38:26 | 显示全部楼层
YorkWaugh 发表于 2023-9-7 08:25
似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复

第一条这个我今天发补丁，火绒内部机制改动造成的

第二条dwwin.exe是啥东东
回复

举报

YorkWaugh
发表于 2023-9-8 00:04:40 | 显示全部楼层
Jerry.Lin 发表于 2023-9-7 23:38
第一条这个我今天发补丁，火绒内部机制改动造成的

第二条dwwin.exe是啥东东

似乎是个错误报告程序
https://www.virustotal.com/gui/f ... f5135e8e2ef02a448e/
回复

举报

Jerry.Lin
 楼主| 发表于 2023-9-8 01:45:52 | 显示全部楼层
YorkWaugh 发表于 2023-9-7 08:25
似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复

已修复

评分

参与人数 1人气 +3 收起 理由
YorkWaugh + 3 版区有你更精彩： ）

查看全部评分

回复

举报

YorkWaugh
发表于 2023-10-7 21:53:37 | 显示全部楼层
  1. 触犯规则：Suspicious.CommandPrompt.A
  2. 操作类型：【执行】
  3. 操作文件：C:\Windows\System32\wscript.exe
  4. 操作结果：已允许

  6. 进程ID：4916
  7. 操作进程：C:\Windows\System32\cmd.exe
  8. 操作进程命令行："C:\WINDOWS\system32\cmd.exe"
  9. 父进程ID：10120
  10. 父进程：C:\Windows\explorer.exe
  11. 父进程命令行：C:\WINDOWS\Explorer.EXE
复制代码
  1. 触犯规则：Suspicious.ScriptHost.B
  2. 操作类型：【执行】
  3. 操作文件：C:\Windows\System32\wscript.exe
  4. 操作结果：已允许

  6. 进程ID：4916
  7. 操作进程：C:\Windows\System32\cmd.exe
  8. 操作进程命令行："C:\WINDOWS\system32\cmd.exe"
  9. 父进程ID：10120
  10. 父进程：C:\Windows\explorer.exe
  11. 父进程命令行：C:\WINDOWS\Explorer.EXE
复制代码


误伤了CMD中运行slmgr命令
回复

举报

闻雷
发表于 2023-10-8 15:16:44 | 显示全部楼层
https://bbs.kafan.cn/forum.php?m ... 20&pid=52484393

仍然在
回复

举报

Jerry.Lin
 楼主| 发表于 2023-10-9 00:32:22 | 显示全部楼层
YorkWaugh 发表于 2023-10-7 07:53
误伤了CMD中运行slmgr命令

wscript -> cmd 木马也常用

评分

参与人数 1人气 +2 收起 理由
YorkWaugh + 2 版区有你更精彩： ）

查看全部评分

回复

举报

Jerry.Lin
 楼主| 发表于 2023-10-9 00:32:45 | 显示全部楼层
闻雷 发表于 2023-10-8 01:16
https://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=2143520&pid=52484393

仍然在

我现在commit 下
回复

举报

下一页 »
1 ...130131132133134135136137... 139下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-12-29 10:07 , Processed in 0.093020 second(s), 16 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表