别问我，我也不知道这是啥

救命稻草

红伞MISS

我是电脑迷

一看就是正常程序

1. 17:13:40[1]：(允许)程序启动：File_Analysis 行为记录成功开启   规则版本：1.9.0.0
   
2. 
   
3. 17:13:40[2]：(允许)读取文件：C:\Program Files\MacType\MacType.ini
   
4. 
   
5. 17:13:40[3]：(允许)读取文件：C:\Program Files\MacType\ini\default.ini
   
6. 
   
7. 17:13:40[4]：(允许)读取文件：C:\Program Files\MacType\MacType.ini
   
8. 
   
9. 17:13:40[5]：(允许)读取文件：C:\Program Files\MacType\ini\default.ini
   
10. 
    
11. 17:13:40[6]：(允许)读取注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FontAssoc\Associated DefaultFonts\FontPackage     数据：
    
12. 
    
13. 17:13:41[7]：(允许)读取注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FontAssoc\Associated DefaultFonts\FontPackageDecorative     数据：
    
14. 
    
15. 17:13:41[8]：(允许)读取注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FontAssoc\Associated DefaultFonts\FontPackageDontCare     数据：
    
16. 
    
17. 17:13:41[9]：(允许)读取注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FontAssoc\Associated DefaultFonts\FontPackageModern     数据：
    
18. 
    
19. 17:13:41[10]：(允许)读取注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FontAssoc\Associated DefaultFonts\FontPackageRoman     数据：
    
20. 
    
21. 17:13:41[11]：(允许)读取注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FontAssoc\Associated DefaultFonts\FontPackageScript     数据：
    
22. 
    
23. 17:13:41[12]：(允许)读取注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FontAssoc\Associated DefaultFonts\FontPackageSwiss     数据：
    
24. （注：这里我按下了设置按钮）
    
25. 17:14:23[13]：(阻止)查找窗口：任务栏(常用执行恶意行为)
    
26. 
    
27. 17:14:26[14]：(允许)程序退出：File_Analysis 行为记录到此为止
    

复制代码

读取的那几个注册表都是跟字体有关的 读取mactype是因为我装了mactype 每个程序的字体都要经过mactype渲染