[卡巴翻车][YourRansom] build170524

显示全部楼层 · 发表于 2017-5-24 12:39:18

本帖最后由 popu111 于 2017-5-24 16:44 编辑

随手改了点代码（有star项目源码的饭友应该会发现确实只改了一点），离重构的目标仍然遥远。但是竟然就这样还达成了（5/60）。。。

目前卡巴已确定翻车，@pal家族正联系毛子中

VT: https://www.virustotal.com/en/fi ... 512c28f0a/analysis/

欢迎各位大佬捧场发测试结果，但不建议纯扫描。

显示全部楼层 · 发表于 2017-5-24 12:40:26

本帖最后由 zst470396853 于 2017-5-24 12:49 编辑

如图
360扫描KILL Q管国际版卡巴miss

实机双击 Q管国际版KILL

显示全部楼层 · 发表于 2017-5-24 12:40:35

虽然不知道楼主在说什么，但是感觉很

显示全部楼层 · 发表于 2017-5-24 12:41:57

cylance又翻车

显示全部楼层 · 发表于 2017-5-24 12:45:15

前排支持

显示全部楼层 · 发表于 2017-5-24 12:50:30

扫描MISS

显示全部楼层 · 发表于 2017-5-24 12:51:47

Yuri1st 发表于 2017-5-24 12:50
扫描MISS

报不常见简直尴尬，很多正常小众软件都报，我通常看到这个都是允许的

显示全部楼层 · 发表于 2017-5-24 12:53:57

zst470396853 发表于 2017-5-24 12:40
如图
360扫描KILL Q管国际版卡巴miss

看起来是启发？

显示全部楼层 · 发表于 2017-5-24 12:56:36

本帖最后由霄栋于 2017-5-24 16:06 编辑

虚拟机测试完成
平台：Window 10 Pro CU x32 + Kaspersky Internet Security 2017 17.0.0.611（e）
额外设置：保持KIS默认设置，更新病毒库至最新，全程联网
测试结果：复现成功，KIS翻车，虚拟机两个盘符（C、E）中测试文件被加密

KIS 2017 miss
MBAM miss
入沙运行，HMPA拦截，然而并不能终止进程，沙盘内文件被加密。

实机双击，MBAM勒索防护拦截

，样本被隔离。不过损失了少部分文件。

所以说MBAM的防勒索还是有一点效果的

下面的结果可能有点意外，老司机翻车了

与勒索进程和谐共处

上万文件被加密，总大小可能超过100G（因为包含虚拟磁盘文件）
部分被加密文件

其中一个被加密的虚拟机的虚拟磁盘所在文件夹

显示全部楼层 · 发表于 2017-5-24 12:59:57

本帖最后由 zst470396853 于 2017-5-24 13:32 编辑

popu111 发表于 2017-5-24 12:53
看起来是启发？

可能吧! 也有可能是Q管云或者什么鹰眼哈哈

[病毒样本] [卡巴翻车][YourRansom] build170524

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

评分

评分

本帖子中包含更多资源

本帖子中包含更多资源