火绒高级威胁防护规则

YorkWaugh

Jerry.Lin 发表于 2023-9-7 23:38
第一条这个我今天发补丁，火绒内部机制改动造成的

第二条dwwin.exe是啥东东

似乎是个错误报告程序
https://www.virustotal.com/gui/f ... f5135e8e2ef02a448e/

Jerry.Lin

YorkWaugh 发表于 2023-9-7 08:25
似乎是打开这个文件造成的

老师给的文件，莫名其妙Word打开就文档恢复

已修复

YorkWaugh

1. 触犯规则：Suspicious.CommandPrompt.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\wscript.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：4916
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行："C:\WINDOWS\system32\cmd.exe"
   
9. 父进程ID：10120
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

1. 触犯规则：Suspicious.ScriptHost.B
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\wscript.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：4916
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行："C:\WINDOWS\system32\cmd.exe"
   
9. 父进程ID：10120
   
10. 父进程：C:\Windows\explorer.exe
    
11. 父进程命令行：C:\WINDOWS\Explorer.EXE

复制代码

误伤了CMD中运行slmgr命令

闻雷

https://bbs.kafan.cn/forum.php?m ... 20&pid=52484393

仍然在

Jerry.Lin

YorkWaugh 发表于 2023-10-7 07:53
误伤了CMD中运行slmgr命令

wscript -> cmd 木马也常用

Jerry.Lin

闻雷 发表于 2023-10-8 01:16
https://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=2143520&pid=52484393

仍然在

我现在commit 下

qingting2016

找不到文件，楼主能否上传个压缩包。
可以下载了，谢谢。

KeiTh.

感谢分享

qq26896

感谢分享，下载加固。

Frank404

1. 触犯规则：Suspicious.CommandPrompt.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\cscript.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：21276
   
7. 操作进程：C:\WINDOWS\SYSTEM32\cscript.exe
   
8. 操作进程命令行：C:\Windows\System32\cmd.exe /Ccscript.exe "C:\Program Files\Microsoft Office\Office16\OSPP.VBS" /dstatus
   
9. 父进程ID：10140
   
10. 父进程：C:\Program Files\Honor\PCManager\MBAMessageCenter.exe
    
11. 父进程命令行："C:\Program Files\HONOR\PCManager\MBAMessageCenter.exe"

复制代码

猜测是荣耀系统管家最近文档的功能所致，请问大佬这个情况可以选择允许且下次自动处理吗