火绒高级威胁防护规则

cyrano1985

Jerry.Lin 发表于 2023-8-14 12:44
hello,
https://github.com/JerryLinLinLin/Huorong-ATP-Rules/suites/15064238806/artifacts/860202539 ...

卸载2021重装2016，重启后开WORD又弹窗了。

【1】2023-08-15 02:01:09,高级防护,自定义防护,WINWORD.EXE触犯自定义防护规则, 已阻止

触犯规则：Exploit.MSOffice.E
操作类型：【修改】
操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
操作结果：已阻止

进程ID：1180
操作进程：C:\Program Files\Microsoft Office\Office16\WINWORD.EXE
操作进程命令行："C:\Program Files\Microsoft Office\Office16\WINWORD.EXE"
父进程ID：5204
父进程：C:\Windows\explorer.exe
父进程命令行：C:\Windows\Explorer.EXE
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

Jerry.Lin

cyrano1985 发表于 2023-8-14 12:02
卸载2021重装2016，重启后开WORD又弹窗了。

【1】2023-08-15 02:01:09,高级防护,自定义防护,WINWORD.E ...

神奇，为啥word会去动powershell

Jerry.Lin

cyrano1985 发表于 2023-8-14 12:02
卸载2021重装2016，重启后开WORD又弹窗了。

【1】2023-08-15 02:01:09,高级防护,自定义防护,WINWORD.E ...

你的office 2021 和2016都是正版的吗

Jirehlov1234

Jerry.Lin 发表于 2023-8-14 18:53
神奇，为啥word会去动powershell

看了一下365最新版确实会碰pwsh。会先试图开C:\Program Files\Microsoft Office\root\vfs\System\WindowsPowerShell\v1.0\powershell.exe，如果不存在，会开C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

Jerry.Lin

Jirehlov1234 发表于 2023-8-14 16:26
看了一下365最新版确实会碰pwsh。会先试图开C:\Program Files\Microsoft Office\root\vfs\System\Windo ...

不过火绒是不是把read attribute 算在修改这个动作里了……还是说是CreateFile……有空研究一下

べ坤

66666666

KeiTh.

这网盘真慢呀

nasaki

赞

YorkWaugh

1. 触犯规则：Exploit.MSOffice.E
   
2. 操作类型：【修改】
   
3. 操作文件：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：14152
   
7. 操作进程：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
   
8. 操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"
   
9. 父进程ID：9848
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

1. 触犯规则：Exploit.MSOffice.E
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\DWWIN.EXE
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：11216
   
7. 操作进程：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
   
8. 操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"
   
9. 父进程ID：9848
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复
Office 365，版本 2308 (内部版本 16731.20170 即点即用)
WINWORD.EXE和DWWIN.EXE我确认了一下，都没有被修改

Jerry.Lin

YorkWaugh 发表于 2023-9-7 08:25
似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复

第一条这个我今天发补丁，火绒内部机制改动造成的

第二条dwwin.exe是啥东东