File name: TMP5016.tmp Detection ratio: 3 / 54 加密勒索挂马 附中文解密说明

墨家小子

胖福 发表于 2015-12-22 14:39
说不定我这里云抽风呢！

又是这句话

胖福

墨家小子 发表于 2015-12-22 14:40
又是这句话

UDS在我这杀了我无数存货，唯独没检测到这个！

liulangzhecgr

在多用户操作下，貌似不起作用...



2015/12/22 14:17:24    创建新进程    允许
进程: c:\windows\system32\taskmgr.exe
目标: g:\download\tmp5016\tmp5016.tmp.exe
命令行: "G:\Download\TMP5016\TMP5016.tmp.exe"
规则: [应用程序]*

2015/12/22 14:18:15    创建文件夹    允许
进程: g:\download\tmp5016\tmp5016.tmp.exe
目标: C:\ProgramData\utozatibetoweqag
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/22 14:18:29    创建文件    允许
进程: g:\download\tmp5016\tmp5016.tmp.exe
目标: C:\ProgramData\utozatibetoweqag\01000000
规则: [应用程序组]病毒测试 -> [文件]*

2015/12/22 14:19:57    创建新进程    允许
进程: g:\download\tmp5016\tmp5016.tmp.exe
目标: c:\windows\explorer.exe
命令行: "C:\Windows\explorer.exe"
规则: [应用程序组]病毒测试 -> [子应用程序]*

2015/12/22 14:20:20    修改其他进程的线程    允许
进程: g:\download\tmp5016\tmp5016.tmp.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2015/12/22 14:20:23    修改其他进程的内存    允许
进程: g:\download\tmp5016\tmp5016.tmp.exe
目标: c:\windows\explorer.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2015/12/22 14:20:44    创建文件    允许
进程: c:\windows\explorer.exe
目标: C:\Windows\yrytyper.exe
规则: [应用程序]c:\windows\explorer.exe -> [文件组]系统执行文件 -> [文件]c:\windows\*; *.exe

2015/12/22 14:20:52    修改注册表值    阻止
进程: c:\windows\explorer.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\icamomoq
值: "C:\Windows\yrytyper.exe"
规则: [应用程序]c:\windows\explorer.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2015/12/22 14:21:47    创建文件    允许
进程: c:\windows\explorer.exe
目标: C:\ProgramData\utozatibetoweqag\00000000
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2015/12/22 14:24:30    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\windows\system32\vssadmin.exe
命令行: vssadmin.exe Delete Shadows /All /Quiet
规则: [应用程序]*

2015/12/22 14:25:03    创建文件    允许
进程: c:\windows\explorer.exe
目标: C:\Users\yiqing\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\b3f13480c2785ae.automaticDestinations-ms
规则: [应用程序]c:\windows\explorer.exe -> [文件]*

2015/12/22 14:25:43    向其他进程复制句柄    允许
进程: c:\windows\system32\conhost.exe
目标: c:\windows\system32\vssadmin.exe
句柄: (Event) 0x00000078
规则: [应用程序]*

胖福

又试了一遍，PDM又杀了！

开开心心卖手机

GD右键miss，条件不足，无法测试主防