【火绒】增强版诱饵防勒索规则 up5.30[停止维护]

引领五基生活

http://bbs.huorong.cn/forum.php?mod=viewthread&tid=22166

火绒官方已加入勒索病毒诱捕功能

本规则作废

Part1

1.  规则出处：http://bbs.huorong.cn/thread-22008-1-1.html

作者@cdyism

2.  规则原理为诱饵法，没有技术含量，大佬请绕道

3.  样本均选择在5.15前未入库，默认主防不报的样本

4.  结果仅供参考.并非所有勒索都是从头开始加密，若使用该规则扔被勒索加密与作者及楼主无关

5.  测试环境无视我内存。。。。

6.  按使用说明将诱饵拷贝至所有盘，导入规则后，开始测试。

资源下载
规则：
样本包：

建议将诱饵拷贝入所有盘符，以增强保护力度
更新日志
2017/5/30
增大诱饵大小

2017/5/26更改诱饵大小及名称
对读取进行保护

2017/5/25
简化字体
支持在所有盘符下放置诱饵

2017/5/20
增加Medium decoy和test!，增加安全性

2017/5/21
针对Ransom.Philadelphia防御优化，禁止问题进程创建(直接block掉问题进程了)

引领五基生活

使用方法简体化

1. 1.将!test、Medium decoy和test!资料夹粘贴至C盘(直接贴在C:/下面)
   
2. 
   
3. 2.打开火绒防护中心-系统防御-自定义防护-导入,选取"勒索诱饵.json"这个档案
   
4. 
   
5. 3.确认开关为绿色即可生效

复制代码

【特别注意!!!!!!!!!!!!!!!当跳出诱饵警示务必点选"结束进程"】

勒索诱饵只能使用一次,如果不幸被勒索跳出警示,结束进程后请务必重新将诱饵重新放入C盘下取代
  ,否则诱饵可能会失效(诱饵已经被勒索破坏)

引领五基生活

Part2测试开始

1.http://bbs.kafan.cn/thread-2090748-1-1.html

结束进程后未被加密

2.http://bbs.kafan.cn/thread-2090661-1-1.html

结束进程后未被加密

3.http://bbs.kafan.cn/thread-2089955-1-1.html

第一个双击自动退出 第二个

结束进程后未被加密

4. http://bbs.kafan.cn/thread-2090196-1-1.html

结束进程后仍未被加密

引领五基生活

part3 总结

本方法虽然简单有效，仅做为扫描引擎、主防失效的补救方案
但随着勒索演化可能失效 所以还请及时做好资料备份

cdyism

還真的把帖子發出來啦

你可以推你寫的改進方案阿(<-原作懶蟲發作中

见朕骑妓的时刻

引领四基生活 发表于 2017-5-24 19:16
part3 总结

本方法虽然简单有效，仅做为扫描引擎、主防失效的补救方案

小子有点厉害啊

sanhu35

以前也有类似的方法去对付扫描磁盘然后感染的病毒

FUZE

可以，可以，这操作可以！

随便注册

当成从“文件头”了，还想什么黑科技？确实很巧妙。

cdyism

FUZE 发表于 2017-5-25 02:46
可以，可以，这操作可以！

以前台灣ptt有人寫腳本監測!test這個資料夾
裡面的資料被變動就立刻關機,避免傷害擴大

只是那方式有問題
既然火絨有不錯的自定義規則 就拿來利用下