Cerber Ransomware

Eset小粉絲

hxxp://truepokemonant.top/search.php



Avira : TR/Crypt.XPACK.22c637 (Cloud)

嘉新

ESET已经爆炸了。。。。

fireherman

ESET miss

Live Grid [未收录/已上报]

心醉咖啡

360

嘉新

fireherman 发表于 2017-1-21 19:08
ESET miss

Live Grid [未收录/已上报]

双击一下500个病毒

pal家族

网站卡巴拉黑

Kaspersky Security Cloud
ACCESS DENIED
The requested URL cannot be provided

URL:

http://truepokemonant.top/search.php
Blocked by Web Anti-Virus

Reason: dangerous URL

Detection method: cloud protection

Click here if you believe that the web page has been blocked by mistake.

Message generated at: 19: 9:58

文件：
卡巴miss，没有双击，未上报

pal家族

双击，卡巴杀



非住房杀，而是启发杀。可见该文件在监控级别为中时，会miss
扫描时或双击时则会拦截


可能是壳？

BDIS2017：扫描miss，双击，ATC杀

嘉新

我的黄片的没了。。。

fireherman

嘉新 发表于 2017-1-21 19:10
双击一下500个病毒

WinXP没反应：

设置HIPS规则[阻止]：可以看到在临时目录生成文件





300多条记录，以下是部分：

[mw_shl_code=css,true]2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsy16.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsy15.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsy14.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsy13.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsy12.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsy11.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsy10.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsyF.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsyE.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Get access to file        E:\Temp\WINXP_~1\nsyD.tmp        some access blocked        TEST        Write to file
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Modify registry        HKEY_USERS\S-1-5-21-2052111302-2111687655-1060284298-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{f274fa40-775a-11e6-be8c-806d6172696f}\BaseClass        blocked        TEST      
2017-1-21 19:13:17        E:\VirZ\Ransom.Cerber.exe        Modify registry        HKEY_USERS\S-1-5-21-2052111302-2111687655-1060284298-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{f274fa43-775a-11e6-be8c-806d6172696f}\BaseClass        blocked        TEST      
2017-1-21 19:13:16        E:\VirZ\Ransom.Cerber.exe        Modify registry        HKEY_USERS\S-1-5-21-2052111302-2111687655-1060284298-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{f274fa42-775a-11e6-be8c-806d6172696f}\BaseClass        blocked        TEST  [/mw_shl_code]

然后关闭此规则，自动放行：无反应

文件也没有被加密：