网站 › 『病毒救援区』 › 火绒报Word宏病毒，可不可以看出来是误报还是确认是病毒了？

lq768541 发表于 2021-4-15 15:33

火绒报Word宏病毒，可不可以看出来是误报还是确认是病毒了？

由于文件涉密，发不了文件...
【1】2021-04-15 15:23:12,病毒防护,文件实时监控,发现病毒OMacro/Thus.a, 已处理

病毒名称：OMacro/Thus.a
病毒ID：DF0AFB12FFD49221
操作类型：执行
操作结果：已处理

进程ID：27360
操作进程：C:\Users\Administrator\AppData\Local\Kingsoft\WPS Office\11.1.0.10463\office6\wps.exe
操作进程命令行："C:\Users\Administrator\AppData\Local\Kingsoft\WPS Office\11.1.0.10463\office6\wps.exe" /wps /from_prome /prome-pipe-token=kprometheus.13084.13024.30288 /prome-prestart-type=1
父进程：C:\Users\Administrator\AppData\Local\Kingsoft\WPS Office\11.1.0.10463\office6\wps.exe
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>


【2】2021-04-15 15:18:36,病毒防护,文件实时监控,发现病毒OMacro/Thus.a, 已处理

病毒名称：OMacro/Thus.a
病毒ID：DF0AFB12FFD49221
病毒路径：\\?\UNC\fvod88.vicp.net\文件\公文平台下载附件\2020年03月09日-石办字〔2020〕9号 关于印发《领导干部包抓重点企业责任清单》的通知.doc
操作类型：执行
操作结果：已处理

进程ID：31288
操作进程：C:\Users\Administrator\AppData\Local\Kingsoft\WPS Office\11.1.0.10463\office6\wps.exe
操作进程命令行："C:\Users\Administrator\AppData\Local\Kingsoft\WPS Office\11.1.0.10463\office6\wps.exe" /wps /from_prome /prome-pipe-token=kprometheus.11368.31296.28420 /prome-prestart-type=1
父进程：C:\Users\Administrator\AppData\Local\Kingsoft\WPS Office\11.1.0.10463\office6\wps.exe
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

fanvalen 发表于 2021-4-15 16:43

打开word文件禁用宏，然后打开开发工具查看代码发出来分析才知道

wginui 发表于 2021-4-15 15:44

lq768541 发表于 2021-4-15 15:41
这文件牵涉较广，要是病毒得告知一下，小白不知道这到底是啥

一个朋友的电脑太卡了，跑看，花了几个小时才找到，但是已经删除了，样本没有了。

wginui 发表于 2021-4-15 15:40

昨天刚在一台电脑中发现一个{:1_907:}

lq768541 发表于 2021-4-15 15:41

wginui 发表于 2021-4-15 15:40
昨天刚在一台电脑中发现一个

这文件牵涉较广，要是病毒得告知一下，小白不知道这到底是啥

bigmojin 发表于 2021-4-15 15:48

确定是病毒无误

JamieJiami 发表于 2021-4-15 15:57

误报，因为有宏代码的word档案最后是docm所以是误报

lq768541 发表于 2021-4-15 15:57

bigmojin 发表于 2021-4-15 15:48
确定是病毒无误

这病毒有什么特性

DCQ19890209 发表于 2021-4-15 16:18

小白不知道到底是啥

lq768541 发表于 2021-4-15 16:21

JamieJiami 发表于 2021-4-15 15:57
误报，因为有宏代码的word档案最后是docm所以是误报

你的意思是文件后缀吧，这边是.doc

查看完整版本: 火绒报Word宏病毒，可不可以看出来是误报还是确认是病毒了？