谈一个实际问题

ysj963

ELOHIM 发表于 2017-5-30 22:23
不知道解题思路对不对。
————
如果确认系统进程里面没有任何勒索相关进程存在/守护，

直接还原系统或者重装系统是不是就把病毒能清理掉了。

ELOHIM

ysj963 发表于 2017-5-30 22:28
直接还原系统或者重装系统是不是就把病毒能清理掉了。

病毒当然要清理掉。
就怕你的文件在系统盘或者到处乱放。
处理起来就费时间了。
系统还原，系统自带还原默认情况下不会还原用户文件。
只对系统文件和注册表开刀。

所以有人反应说系统还原不彻底，那么现在看来反而是好事了。
（括弧，划重点，也有删掉个人文件的情况！！）

自己的文件有固定的存放地方，做好防护就行了。

我现在想知道勒索软件里面大量使用的"DeleteFileW  FindFirstFileW   FindNextFileW "函数具体是怎么写的，然后对应来一个防护措施。
让他找不到就OK了。

如果知道，不妨告知一下。
————————————————————————————————
自己找了一下，但是看来实行不了了。
不知道怎么禁止这个函数，或者索引也就不能用了？
需要大量测试啊，MD！
[mw_shl_code=html,true]//遍历文件夹函数
void TraverseFolder(LPCTSTR lpPath)
{
        TCHAR szFind[MAX_PATH] = {_T("\0")};
        WIN32_FIND_DATA findFileData;
        BOOL bRet;

        _tcscpy_s(szFind, MAX_PATH, lpPath);
        _tcscat_s(szFind, _T("\\*.*"));                //这里一定要指明通配符，不然不会读取所有文件和目录

        HANDLE hFind = ::FindFirstFile(szFind, &findFileData);
        if (INVALID_HANDLE_VALUE == hFind)
        {
                return;
        }

        //遍历文件夹
        while (TRUE)
        {
                if (findFileData.cFileName[0] != _T('.'))
                {//不是当前路径或者父目录的快捷方式
                        _tprintf(_T("%s\\%s\n"), lpPath, findFileData.cFileName);
                        if (findFileData.dwFileAttributes & FILE_ATTRIBUTE_DIRECTORY)
                        {//这是一个普通目录
                                //设置下一个将要扫描的文件夹路径
                                _tcscpy_s(szFind, MAX_PATH, lpPath);        
                                _tcscat_s(szFind, _T("\\"));        
                                _tcscat_s(szFind, findFileData.cFileName);
                                ///_tcscat_s(szNextDir, _T("\\*"));
                                //遍历该目录
                                TraverseFolder(szFind);
                        }
                }
                //如果是当前路径或者父目录的快捷方式，或者是普通目录，则寻找下一个目录或者文件
                bRet = ::FindNextFile(hFind, &findFileData);
                if (!bRet)
                {//函数调用失败
                        //cout << "FindNextFile failed, error code: "
                        //        << GetLastError() << endl;
                        break;
                }
        }

        ::FindClose(hFind);[/mw_shl_code]

微软：https://msdn.microsoft.com/en-us/library/windows/desktop/aa364418(v=vs.85).aspx

对了，创建那种畸形目录行不行？
文件夹名后面加上两个“."
去做测试了！

Virus4

目前来说多半勒索都一个样。

你怕是一个也没运行过。

FrozenForest

空谈误国，实干兴邦
实践是检验真理的唯一标准
请LZ认真阅读理解上述两句话

ELOHIM

真特么尴尬。
双击样本，SCEP 弹两次窗干掉了样本，提示重启，又杀掉了开机启动项。
任何文件都未被加密………………

换个样本继续测试畸形目录有没有效果！
————
又被拦截。不测了。

linzh

删掉被加密的文件和病毒，继续使用

欧阳宣

hips居然被你用来说成是锁定和保护文件用的，真是匪夷所思

你用hips限制了某个进程的操作，未必它还要故意放行非关键区域的加密行为？

你真的是连勒索双击后会干些什么都不知道

你是不是还在故意发无脑言论激其他人来科普啊，这么做学不到什么东西的，自己双击对照着弹窗看吧。

ysj963

欧阳宣 发表于 2017-5-31 04:35
hips居然被你用来说成是锁定和保护文件用的，真是匪夷所思

你用hips限制了某个进程的操作，未必它还要故 ...

ESET的HIPS难道不能用来锁定文件夹？

fireherman

ysj963 发表于 2017-5-31 07:15
ESET的HIPS难道不能用来锁定文件夹？

ESET的工程师要哭了，花那么多气力造出一个防注入优秀的HIPS，却只被用户用来锁定文件夹？

ysj963

fireherman 发表于 2017-5-31 07:57
ESET的工程师要哭了，花那么多气力造出一个防注入优秀的HIPS，却只被用户用来锁定文件夹？

注入肯定也要防的啊，只不过其他规则也不能防的住勒索。锁文件夹还是看了你的帖子才这么干的，我汗！现在看穿了 ，卡巴的有主防也会被过，我还是有针对性的防一下比较好。锁定备份系统和备份文件。ESET的注册表修改设置询问后还有必要再添加其他关键注册表项吗？ DLL劫持什么的是不是也在修改启动设置这里面，他不列出里面的项就是不好 ，想让用户省心都不行。