歡迎各大殺軟測試主防

Eset小粉絲

Kaandsona_RansomTroll Ransomware

加密后輟.kencf



New Brazilian Ransomware

加密后輟.id-%ID%_garryweber@protonmail.ch



Havoc Ransomware

加密后輟.HavocCrypt



Samas Ransomware

加密后輟.powerfulldecrypt



CryptoLocker 2017

加密后輟.sifreli

胖福

诺顿都入库了！

vm001

火绒杀了2个，剩余的全过火绒

pal家族

vm001 发表于 2017-1-22 14:17
火绒杀了2个，剩余的全过火绒

啊，，，，，，，，

Dolby123

CryptoLocker 2017 是锁机？ 人脑解锁


.txt 被加密

pal家族

卡巴扫描结果

胖福

改MD5并关闭B启发后剩余一个：

文件名: new brazilian ransomware.exe
威胁名称: SONAR.Heuristic.158
完整路径: 不可用
____________________________

详细信息
未知的社区使用情况,  未知的文件存在时间,  风险 高

原始
下载自
 未知

活动
已执行的操作: 29
____________________________

在电脑上的创建时间 
不可用

上次使用时间 
(  )

启动项目 
否

已启动 
是
____________________________

未知
诺顿社区中使用了此文件的用户数 未知。

未知
此文件版本当前 未知。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

来源: 外部介质
____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ new brazilian ransomware.exe 不需要操作
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\ Local AppWizard-Generated Applications 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Local AppWizard-Generated Applications\ FileSpy 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Local AppWizard-Generated Applications\FileSpy\ Recent File List 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Local AppWizard-Generated Applications\FileSpy\ Settings 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ New Brazilian Ransomware_RASAPI32 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ New Brazilian Ransomware_RASMANCS 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ New Brazilian Ransomware_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:2332) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:3820) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:3352 (执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:3820) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ new brazilian ransomware.exe, PID:2332 (执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:3820) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:2332) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:2332) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ new brazilian ransomware.exe, PID:3820 (执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:3820) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ new brazilian ransomware.exe, PID:2332 (执行者 f:\norton样本\sonar漏检\临时收集\new brazilian ransomware.exe, PID:2332) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

电脑发烧友

胖福 发表于 2017-1-22 14:29
改MD5并关闭B启发后剩余一个：

文件名: new brazilian ransomware.exe

SONAR不是会联动特征库么？既然已经入库了样本怎么跑起来了？是不是云拉黑

pal家族

RansomTroll
双击 闪退，无法运行。

ctblocker2017
双击，遮蔽屏幕，alt+f4就给关闭了。加密好像没有发作。
用反锁屏快捷键也可以直接杀掉。
不太懂这玩意想干啥。

胖福

电脑发烧友 发表于 2017-1-22 14:34
SONAR不是会联动特征库么？既然已经入库了样本怎么跑起来了？是不是云拉黑

这个我 也并不清楚！我安装的21版诺顿360，绝大多数B启发的，即使关闭启发，也会被SONAR.TCP这个报法杀掉，似乎有联动，但个别的又会被SONAR.Heuristic.***登报法检测到！