Reply to thread

Message

<blockquote data-quote="Andy Ful" data-source="post: 980982" data-attributes="member: 32260">Defender stores detection/block events in two different ways:<ol>
<li data-xf-list-type="ol">Protection history - available via Security Center</li>
<li data-xf-list-type="ol">Event Log - available via &#039;ProviderName&#039;=&#039;Microsoft-Windows-Windows Defender&#039;</li>
</ol>The second way is used in ConfigureDefender to see the detected/blocked events - it can be easily maintained and cleared. It is displayed in Notepad, so one can easily use the Search feature and edit the content - good for analysis.The example of output from ConfigureDefender:[CODE]**************************************************************************************************************************************************Event[0]:Time Created&nbsp; : 25.03.2022 12:55:08ProviderName : Microsoft-Windows-Windows DefenderId&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp; : 5001Message&nbsp; &nbsp; &nbsp; : Skanowanie będące częścią ochrony w czasie rzeczywistym produktu Program antywirusowy Microsoft Defender w poszukiwaniu złośliwego kodu oraz innego niechcianego oprogramowania zostało wyłączone.**************************************************************************************************************************************************Event[1]:Time Created&nbsp; : 25.03.2022 12:54:51ProviderName : Microsoft-Windows-Windows DefenderId&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp; : 1116Message&nbsp; &nbsp; &nbsp; : Produkt Program antywirusowy Microsoft Defender wykrył złośliwe oprogramowanie lub inne potencjalnie niechciane oprogramowanie.&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Aby uzyskać więcej informacji, zobacz:&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp; https://go.microsoft.com/fwlink/?linkid=37020&amp;name=Trojan:O97M/Sadoca.C!ml&amp;threatid=2147750313&amp;enterprise=0&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Nazwa: Trojan:O97M/Sadoca.C!ml&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Identyfikator: 2147750313&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Ważność: Poważny&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Kategoria: Koń trojański&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Ścieżka: file:_C:\test\PwerShellSu.doc&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Pochodzenie wykrycia: Komputer lokalny&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Typ wykrycia: FastPath&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Źródło wykrycia: Ochrona w czasie rzeczywistym&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Użytkownik: XX-YY\Tester&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Nazwa procesu: C:\Windows\explorer.exe&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Wersja analizy zabezpieczeń: AV: 1.361.642.0, AS: 1.361.642.0, NIS: 1.361.642.0&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Wersja aparatu: AM: 1.1.19000.8, NIS: 1.1.19000.8**************************************************************************************************************************************************Event[2]:Time Created&nbsp; : 24.03.2022 19:47:01ProviderName : Microsoft-Windows-Windows DefenderId&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp; : 5001Message&nbsp; &nbsp; &nbsp; : Skanowanie będące częścią ochrony w czasie rzeczywistym produktu Program antywirusowy Microsoft Defender w poszukiwaniu złośliwego kodu oraz innego niechcianego oprogramowania zostało wyłączone.**************************************************************************************************************************************************Event[3]:Time Created&nbsp; : 24.03.2022 17:41:20ProviderName : Microsoft-Windows-Windows DefenderId&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp; : 1116Message&nbsp; &nbsp; &nbsp; : Produkt Program antywirusowy Microsoft Defender wykrył złośliwe oprogramowanie lub inne potencjalnie niechciane oprogramowanie.&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Aby uzyskać więcej informacji, zobacz:&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp; https://go.microsoft.com/fwlink/?linkid=37020&amp;name=TrojanDownloader:O97M/Instabus.YA!MTB&amp;threatid=2147733551&amp;enterprise=0&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Nazwa: TrojanDownloader:O97M/Instabus.YA!MTB&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Identyfikator: 2147733551&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Ważność: Poważny&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Kategoria: Koń trojański pobierający inne programy&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Ścieżka: file:_C:\Users\Tester\Downloads\98e4695eb06b12221f09956c4ee465ca5b50f20c0a5dc0550cad02d1d7131526; webfile:_D:\Users\Admin\Downloads\98e4695eb06b12221f09956c4ee465ca5b50f20c0a5dc0550cad02d1d7131526|https://raw.githubusercontent.com/InQuest/malware-samples/master/2019-01-15-Ma&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp; l-Excel-Doc-Macrosheet/98e4695eb06b12221f09956c4ee465ca5b50f20c0a5dc0550cad02d1d7131526|pid:8436,ProcessStart:132926136800978443&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Pochodzenie wykrycia: Internet&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Typ wykrycia: Konkretne&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Źródło wykrycia: Pobrania i załączniki&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Użytkownik: XX-YY\Tester&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Nazwa procesu: Unknown&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Wersja analizy zabezpieczeń: AV: 1.361.529.0, AS: 1.361.529.0, NIS: 1.361.529.0&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Wersja aparatu: AM: 1.1.19000.8, NIS: 1.1.19000.8**************************************************************************************************************************************************[/CODE]How to clear events:[ATTACH=full]265272[/ATTACH]The &quot;Protection history&quot; from Security Center is for Defender free on default settings. It is not the greatest usability achievement you could hope for.<img src="data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///yH5BAEAAAAALAAAAAABAAEAAAIBRAA7" class="smilie smilie--sprite smilie--sprite109" alt=":)" title="Smile&nbsp; &nbsp; :)" loading="lazy" data-shortname=":)" /></blockquote>

[QUOTE="Andy Ful, post: 980982, member: 32260"] Defender stores detection/block events in two different ways: [LIST=1] [*]Protection history - available via Security Center [*]Event Log - available via 'ProviderName'='Microsoft-Windows-Windows Defender' [/LIST] The second way is used in ConfigureDefender to see the detected/blocked events - it can be easily maintained and cleared. It is displayed in Notepad, so one can easily use the Search feature and edit the content - good for analysis. [B]The example of output from ConfigureDefender:[/B] [CODE] ************************************************************************* ************************************************************************* Event[0]: Time Created : 25.03.2022 12:55:08 ProviderName : Microsoft-Windows-Windows Defender Id : 5001 Message : Skanowanie będące częścią ochrony w czasie rzeczywistym produktu Program antywirusowy Microsoft Defender w poszukiwaniu złośliwego kodu oraz innego niechcianego oprogramowania zostało wyłączone. ************************************************************************* ************************************************************************* Event[1]: Time Created : 25.03.2022 12:54:51 ProviderName : Microsoft-Windows-Windows Defender Id : 1116 Message : Produkt Program antywirusowy Microsoft Defender wykrył złośliwe oprogramowanie lub inne potencjalnie niechciane oprogramowanie. Aby uzyskać więcej informacji, zobacz: https://go.microsoft.com/fwlink/?linkid=37020&name=Trojan:O97M/Sadoca.C!ml&threatid=2147750313&enterprise=0 Nazwa: Trojan:O97M/Sadoca.C!ml Identyfikator: 2147750313 Ważność: Poważny Kategoria: Koń trojański Ścieżka: file:_C:\test\PwerShellSu.doc Pochodzenie wykrycia: Komputer lokalny Typ wykrycia: FastPath Źródło wykrycia: Ochrona w czasie rzeczywistym Użytkownik: XX-YY\Tester Nazwa procesu: C:\Windows\explorer.exe Wersja analizy zabezpieczeń: AV: 1.361.642.0, AS: 1.361.642.0, NIS: 1.361.642.0 Wersja aparatu: AM: 1.1.19000.8, NIS: 1.1.19000.8 ************************************************************************* ************************************************************************* Event[2]: Time Created : 24.03.2022 19:47:01 ProviderName : Microsoft-Windows-Windows Defender Id : 5001 Message : Skanowanie będące częścią ochrony w czasie rzeczywistym produktu Program antywirusowy Microsoft Defender w poszukiwaniu złośliwego kodu oraz innego niechcianego oprogramowania zostało wyłączone. ************************************************************************* ************************************************************************* Event[3]: Time Created : 24.03.2022 17:41:20 ProviderName : Microsoft-Windows-Windows Defender Id : 1116 Message : Produkt Program antywirusowy Microsoft Defender wykrył złośliwe oprogramowanie lub inne potencjalnie niechciane oprogramowanie. Aby uzyskać więcej informacji, zobacz: https://go.microsoft.com/fwlink/?linkid=37020&name=TrojanDownloader:O97M/Instabus.YA!MTB&threatid=2147733551&enterprise=0 Nazwa: TrojanDownloader:O97M/Instabus.YA!MTB Identyfikator: 2147733551 Ważność: Poważny Kategoria: Koń trojański pobierający inne programy Ścieżka: file:_C:\Users\Tester\Downloads\98e4695eb06b12221f09956c4ee465ca5b50f20c0a5dc0550cad02d1d7131526; webfile:_D:\Users\Admin\Downloads\98e4695eb06b12221f09956c4ee465ca5b50f20c0a5dc0550cad02d1d7131526|https://raw.githubusercontent.com/InQuest/malware-samples/master/2019-01-15-Ma l-Excel-Doc-Macrosheet/98e4695eb06b12221f09956c4ee465ca5b50f20c0a5dc0550cad02d1d7131526|pid:8436,ProcessStart:132926136800978443 Pochodzenie wykrycia: Internet Typ wykrycia: Konkretne Źródło wykrycia: Pobrania i załączniki Użytkownik: XX-YY\Tester Nazwa procesu: Unknown Wersja analizy zabezpieczeń: AV: 1.361.529.0, AS: 1.361.529.0, NIS: 1.361.529.0 Wersja aparatu: AM: 1.1.19000.8, NIS: 1.1.19000.8 ************************************************************************* ************************************************************************* [/CODE] [B]How to clear events:[/B] [ATTACH type="full" alt="1648292118599.png"]265272[/ATTACH] The "Protection history" from Security Center is for Defender free on default settings. It is not the greatest usability achievement you could hope for.:) [/QUOTE]

Verification