火绒高级威胁防护规则

Jerry.Lin

Jirehlov1234 发表于 2023-8-14 16:26
看了一下365最新版确实会碰pwsh。会先试图开C:\Program Files\Microsoft Office\root\vfs\System\Windo ...

不过火绒是不是把read attribute 算在修改这个动作里了……还是说是CreateFile……有空研究一下

べ坤

66666666

KeiTh.

这网盘真慢呀

nasaki

赞

YorkWaugh

1. 触犯规则：Exploit.MSOffice.E
   
2. 操作类型：【修改】
   
3. 操作文件：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：14152
   
7. 操作进程：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
   
8. 操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"
   
9. 父进程ID：9848
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

1. 触犯规则：Exploit.MSOffice.E
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\DWWIN.EXE
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：11216
   
7. 操作进程：C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
   
8. 操作进程命令行："C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE"
   
9. 父进程ID：9848
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复
Office 365，版本 2308 (内部版本 16731.20170 即点即用)
WINWORD.EXE和DWWIN.EXE我确认了一下，都没有被修改

Jerry.Lin

YorkWaugh 发表于 2023-9-7 08:25
似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复

第一条这个我今天发补丁，火绒内部机制改动造成的

第二条dwwin.exe是啥东东

YorkWaugh

Jerry.Lin 发表于 2023-9-7 23:38
第一条这个我今天发补丁，火绒内部机制改动造成的

第二条dwwin.exe是啥东东

似乎是个错误报告程序
https://www.virustotal.com/gui/f ... f5135e8e2ef02a448e/

Jerry.Lin

YorkWaugh 发表于 2023-9-7 08:25
似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复

已修复

YorkWaugh

1. 触犯规则：Suspicious.CommandPrompt.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\wscript.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：4916
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行："C:\WINDOWS\system32\cmd.exe"
   
9. 父进程ID：10120
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

1. 触犯规则：Suspicious.ScriptHost.B
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\wscript.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：4916
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行："C:\WINDOWS\system32\cmd.exe"
   
9. 父进程ID：10120
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

误伤了CMD中运行slmgr命令

闻雷

https://bbs.kafan.cn/forum.php?m ... 20&pid=52484393

仍然在