我自己阻止我自己。。。

ELOHIM

这么犭的吗？

好吧，我又来自问自答。
原因是我在勒索防护里面把 c:\users\username\全局加入了受保护文件夹，以前的样本保存在D盘，后面移动到了Edge默认路径下。
甚至连powershellreadline的命令行历史记录都不能写入了。

虽然mpcmdrun.exe被阻止访问，但是不影响样本的处理。该删的还是删掉了。玄学。

ANY.LNK

因为被阻止的是MpCmdRun.exe，在阻止指定操作或清除威胁时实际执行操作的是MsMpEng.exe NisSrv.exe等Defender核心文件，这部分核心文件能够正常访问指定目录即可。MpCmdRun.exe是个命令行工具，可用来和核心文件通讯，其本身在扫描或清除威胁时不参与实际的目标文件处理过程（在此过程中MpCmdRun.exe会向核心文件发出指令并接受核心文件传回来的信息并根据配置呈现给用户）。一般来说，实际需要MpCmdRun.exe本身执行操作的需要更高的权限（如SYSTEM或各类SERVICE权限）

ANY.LNK

现在使用MpCmdRun.exe的Downloadfile指令会有惊喜哦

ELOHIM

ANY.LNK 发表于 2021-7-25 21:47
现在使用MpCmdRun.exe的Downloadfile指令会有惊喜哦

同问一下，什么惊喜啊。。。

ANY.LNK

会出现真-我杀我自己：
Microsoft Defender 防病毒 检测到恶意软件或其他可能不需要的软件。
有关详细信息，请参阅以下内容:
https://go.microsoft.com/fwlink/ ... 50&enterprise=0
        名称: Trojan:Win32/MpUtilAbuse.A
        ID: 2147763350
        严重性: 严重
        类别: 特洛伊木马
        路径: CmdLine:_C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2106.6-0\MpCmdRun.exe -Downloadfile -url -path C:\Users\<User Name>\Downloads\wSJv3ztn_teach\1.png
        检测起源: 未知
        检测类型: 实际
        检测源: 系统
        用户: NT AUTHORITY\SYSTEM
        进程名称: Unknown
        安全智能版本: AV: 1.343.1922.0, AS: 1.343.1922.0, NIS: 1.343.1922.0

ANY.LNK

ELOHIM 发表于 2021-7-30 20:03
同问一下，什么惊喜啊。。。

链接和保存路径可以是随意的