#PowerShell #ransomware

显示全部楼层 · 发表于 2017-7-10 19:48:41

fdsax 发表于 2017-7-10 19:36
avast扫描miss，实机双击IDP拦截

难得看见IDP发力...

显示全部楼层 · 发表于 2017-7-10 20:01:07

ccboxes 发表于 2017-7-10 18:22
可惜了，本来还想测主防的。
卡巴：UDS:DangerousObject.Multi.Generic

我这里中午12点的特征库：
其实还是不清楚这么报毒到底怎么回事。。。。

显示全部楼层 · 发表于 2017-7-10 21:17:15

FSP Trojan:W32/Ransom

显示全部楼层 · 发表于 2017-7-10 21:44:51

本帖最后由电脑发烧友于 2017-7-10 23:15 编辑

ccboxes 发表于 2017-7-10 18:22
可惜了，本来还想测主防的。
卡巴：UDS:DangerousObject.Multi.Generic

改掉特征后卡巴SW不杀
后记
卡巴败北，有意思的是这个勒索加密并不改变文件名（包括后缀）。

最终结论是：如果这是一个未拉黑入库的毒，那么默认状态下会完美中招，如果用卡巴的HIPS拦截了代码注入以及后面的一个弹窗，那么只会出现勒索信，并不会被加密。

显示全部楼层 · 发表于 2017-7-10 22:00:48

本帖最后由电脑发烧友于 2017-7-10 23:15 编辑

后记
卡巴败北，有意思的是这个勒索加密并不改变文件名（包括后缀）。

最终结论是：如果这是一个未拉黑入库的毒，那么默认状态下会完美中招，如果用卡巴的HIPS拦截了代码注入以及后面的一个弹窗，那么只会出现勒索信，并不会被加密。

排除后

第一个弹窗点的是拒绝，第二个是允许，最终有勒索信，但是文件并没有被加密

显示全部楼层 · 发表于 2017-7-10 22:14:25

电脑发烧友发表于 2017-7-10 22:00
排除云杀报毒后，卡巴SW击杀

这就尴尬了、、、
Bazon.a就是SW调用了KSN信息的报法。还是拉黑。。。。。。
你要努力把所以可能出现的报毒名都排除了，那就是真的测试SW的行为流特征了

显示全部楼层 · 发表于 2017-7-10 22:17:44

本帖最后由电脑发烧友于 2017-7-10 23:14 编辑

pal家族发表于 2017-7-10 22:14
这就尴尬了、、、
Bazon.a就是SW调用了KSN信息的报法。还是拉黑。。。。。。
你要努力把所以可能出现的 ...

这个也是啊，我怎么记得还有一种

，算了，现在勒索可能已经发作了，看看卡巴表现如何。

排除了这个报法后，SW确实不杀了

显示全部楼层 · 发表于 2017-7-10 22:22:19

电脑发烧友发表于 2017-7-10 22:17
这个也是啊，我怎么记得还有一种，算了，现在勒索可能已经发作了，看看卡巴表现如何。

排 ...

诶所以SW虽说检测率不能算低但是并没有啥机会表现。。。。。。。。
其实有时可能还需要排除更多的报毒名。。。。UDS：DangerousPattern.XXXXX已经新加入的有可能是云特征的UDS+确切报毒名的报法。。。。

老了老了，跟着keep做个运动累个半死，我需要安眠了~~

显示全部楼层 · 发表于 2017-7-10 22:23:29

电脑发烧友发表于 2017-7-10 22:00
排除云杀报毒后，卡巴SW击杀

试试允许第一个让他加密，看看会不会触发什么呗

显示全部楼层 · 发表于 2017-7-10 22:25:43

pal家族发表于 2017-7-10 22:23
试试允许第一个让他加密，看看会不会触发什么呗

随便在里面加了几个空格，云杀挂掉，双击SW没反应，现在一切默认设置，就看结果了。

[病毒样本] #PowerShell #ransomware

本帖子中包含更多资源

本帖子中包含更多资源