Windows Defender 恶意软件检测与处置
样本信息
文件：
WinDefender_Events_1117_1116_AtomicRedTeam.evtx日志：
Microsoft-Windows-Windows Defender/Operational主机：
MSEDGEWIN10事件数量：11 条，1116 六条，1117 五条；涉及 5 种威胁名称（
HackTool:JS/Jsprat有重复 1116）日志记录创建时间（UTC）：2019-07-18 20:40:02.281—20:53:43.035
触发进程（日志中）：
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
攻击链
| Record ID | UTC 时间 | Event ID | 检测名 | 目标文件/结果 |
|---|---|---|---|---|
| 1 | 20:40:02.281 | 1116 | Trojan:PowerShell/Powersploit.M |
T1056\Get-Keystrokes.ps1 |
| 2 | 20:41:15.440 | 1116 | Trojan:XML/Exeselrun.gen!A |
T1086\payloads\test.xsl |
| 3 | 20:41:17.508 | 1116 | HackTool:JS/Jsprat |
T1100\shells\b.jsp->(SCRIPT0005) |
| 4 | 20:41:17.632 | 1116 | Backdoor:ASP/Ace.T |
T1100\shells\cmd.aspx |
| 5 | 20:41:55.199 | 1116 | Trojan:Win32/Sehyioa.A!cl |
T1218\src\Win32\T1218-2.dll |
| 6 | 20:51:50.799 | 1117 | Trojan:PowerShell/Powersploit.M |
0x80508023（威胁未找到） |
| 7 | 20:53:31.901 | 1116 | HackTool:JS/Jsprat |
b.jsp 及嵌入的多处 SCRIPT 内容，再次检出 |
| 8 | 20:53:31.903 | 1117 | Backdoor:ASP/Ace.T |
0x00000000（操作返回成功） |
| 9 | 20:53:31.905 | 1117 | Trojan:Win32/Sehyioa.A!cl |
0x00000000（操作返回成功） |
| 10 | 20:53:31.953 | 1117 | HackTool:JS/Jsprat |
0x00000000（操作返回成功） |
| 11 | 20:53:43.035 | 1117 | Trojan:XML/Exeselrun.gen!A |
0x80508023（威胁未找到） |