CryptoShield.Ransom (17.03.01)

petr0vic

infected

https://www.virustotal.com/en/fi ... b7e828bcd/analysis/

Eset小粉絲

[mw_shl_code=css,true]
Type:        File
Source:        C:\Users\Ivan\Downloads\cryptoshield.exe
Status:        Infected
Detection:        TR/AD.CryptXXX.Y (Cloud)
Date/Time:        1/3/2017, 23:03[/mw_shl_code]

心醉咖啡

毒霸扫描miss

Monismith

GD的行为监控和反勒索先后弹窗

其中，后者记录：

检测到可疑的文件系统访问，这可能是加密木马。

因为安全原因，G DATA已中断如下进程：
        ----------------------------------------------------------------
        C:\Windows\Explorer.EXE (PID 1800)
        C:\Windows\system32\svchost.exe (PID 1008)
        C:\Users\Administrator\Desktop\cryptoshield.exe (PID 2204)
        ----------------------------------------------------------------

阻止后，如下程序将被移入隔离区：
        ----------------------------------------------------------------
        C:\Users\Administrator\Desktop\cryptoshield.exe
        C:\ProgramData\MicroSoftTMP\system32\conhost.exe
        C:\Windows\Explorer.EXE
        ----------------------------------------------------------------

检测到可疑行为：
        ----------------------------------------------------------------
        已创建： C:\Users\Administrator\AppData\# RESTORING FILES #.HTML
        已创建： C:\# RESTORING FILES #.HTML
        已创建： C:\Boot\# RESTORING FILES #.HTML
        已创建： C:\Users\# RESTORING FILES #.HTML
        已创建： C:\Program Files\# RESTORING FILES #.HTML
        已创建： C:\# RESTORING FILES #.TXT
        已创建： C:\Boot\# RESTORING FILES #.TXT
        已创建： C:\Users\# RESTORING FILES #.TXT
        已创建： C:\Program Files\# RESTORING FILES #.TXT
        已创建： C:\Windows\System32\wbem\repository\WRITABLE.TST
        已创建： C:\Users\Administrator\Desktop\cryptoshield.exe
        已创建： C:\ProgramData\MicroSoftTMP\system32\conhost.exe
        已创建： C:\Users\Administrator\AppData\Roaming\Microsoft Help\Temp\MSVSCCv90.hxntmp
        已创建： C:\$RECYCLE.BIN\# RESTORING FILES #.HTML
        已创建： C:\$RECYCLE.BIN\# RESTORING FILES #.TXT
        已创建： C:\ProgramData\# RESTORING FILES #.HTML
        已创建： C:\ProgramData\# RESTORING FILES #.TXT
        已创建： C:\Users\Administrator\# RESTORING FILES #.HTML
        已创建： C:\Users\Administrator\# RESTORING FILES #.TXT
        ----------------------------------------------------------------

用户已阻止该操作。

彩虹丶//

趋势双击SUSP Block

RUAOT

很给力啊很给力

青衣染雪

文件名: cryptoshield.exe
威胁名称: Heur.AdvML.B完整路径: c:\users\desktop\cryptoshield.exe

____________________________

____________________________


在电脑上 
2017/3/1 ( 23:43:37 )

上次使用时间 
2017/3/1 ( 23:45:37 )

启动项 
否

已启动 
否

威胁类型: 启发式病毒。 根据恶意软件启发式技术检测威胁。

____________________________


cryptoshield.exe 威胁名称: Heur.AdvML.B
定位


极少用户信任的文件
Norton 社区中有不到 5 名用户 使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


https://att.kafan.cn/forum.php?mo ... jA3ODZ8MjA3ODk1MA==
已下载文件 从 att.kafan.cn
来源: 外部介质

cryptoshield.exe

____________________________

文件操作

文件: c:\Users\Desktop\ cryptoshield.exe 已删除
____________________________


文件指纹 - SHA:
1ceaccf925911b4da750321be0be31e0a8fe8220f75170725e74d3db7e828bcd
文件指纹 - MD5:
f83692698014c9144c4dbecacca28777

dongwenqi

卡巴云拉黑

Agu

江湖月夜