我自己阻止我自己。。。

显示全部楼层 · 发表于 2021-7-18 11:00:54

本帖最后由 ELOHIM 于 2021-7-18 11:52 编辑

这么犭的吗？

好吧，我又来自问自答。
原因是我在勒索防护里面把 c:\users\username\全局加入了受保护文件夹，以前的样本保存在D盘，后面移动到了Edge默认路径下。
甚至连powershellreadline的命令行历史记录都不能写入了。

虽然mpcmdrun.exe被阻止访问，但是不影响样本的处理。该删的还是删掉了。玄学。

显示全部楼层 · 发表于 2021-7-25 02:17:41

因为被阻止的是MpCmdRun.exe，在阻止指定操作或清除威胁时实际执行操作的是MsMpEng.exe NisSrv.exe等Defender核心文件，这部分核心文件能够正常访问指定目录即可。MpCmdRun.exe是个命令行工具，可用来和核心文件通讯，其本身在扫描或清除威胁时不参与实际的目标文件处理过程（在此过程中MpCmdRun.exe会向核心文件发出指令并接受核心文件传回来的信息并根据配置呈现给用户）。一般来说，实际需要MpCmdRun.exe本身执行操作的需要更高的权限（如SYSTEM或各类SERVICE权限）

显示全部楼层 · 发表于 2021-7-25 21:47:05

现在使用MpCmdRun.exe的Downloadfile指令会有惊喜哦

显示全部楼层 · 发表于 2021-7-30 20:03:05

ANY.LNK 发表于 2021-7-25 21:47
现在使用MpCmdRun.exe的Downloadfile指令会有惊喜哦

同问一下，什么惊喜啊。。。

显示全部楼层 · 发表于 2021-7-30 20:26:37

会出现真-我杀我自己：
Microsoft Defender 防病毒检测到恶意软件或其他可能不需要的软件。
有关详细信息，请参阅以下内容:
https://go.microsoft.com/fwlink/ ... 50&enterprise=0
名称: Trojan:Win32/MpUtilAbuse.A
ID: 2147763350
严重性: 严重
类别: 特洛伊木马
路径: CmdLine:_C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2106.6-0\MpCmdRun.exe -Downloadfile -url

-path C:\Users\<User Name>\Downloads\wSJv3ztn_teach\1.png
检测起源: 未知
检测类型: 实际
检测源: 系统
用户: NT AUTHORITY\SYSTEM
进程名称: Unknown
安全智能版本: AV: 1.343.1922.0, AS: 1.343.1922.0, NIS: 1.343.1922.0

显示全部楼层 · 发表于 2021-7-30 20:29:01

ELOHIM 发表于 2021-7-30 20:03
同问一下，什么惊喜啊。。。

链接和保存路径可以是随意的

[新手上路] 我自己阻止我自己。。。

本帖子中包含更多资源

评分

评分

评分

本帖子中包含更多资源

评分