Ransom.TeslaCrypt

qftest

墨家小子 发表于 2016-1-27 13:43
以后再也不能愉快全程测试样本了，这加密的东西太烦人

MBAR同样未能阻止样本在程序数据目录生成exe



样本成功运行
MBAR提示拦截并要求重启



重启后，MBAR删除了样本修改的启动项和生成物（特意用pchunter+PM验证全程）



防御成功，虽然被样本在桌面生成了勒索信，我给85分
感觉BDAR就是纯纯的SRP限制，应用层面上显得古板一些，相较而言MBAR更灵活更象“主防”，有前途哦~

qftest

墨家小子 发表于 2016-1-27 13:50
一个能保险吗？万一……

应该还可以吧，SSL全程加密的，反正我又没做坏事。。。

综合症初期患者

请问一下，这个样本是怎么运行的？

我把扩展名改成EXE然后双击，没反应啊...

难道说运行这个也是需要搭梯子的吗？

275751198

文件信息
文件名称：D:\邮件\新建文件夹\新建文件夹 (2)\新建文件夹\新建文件夹 (3)\新建文件夹 (5)\搬运中转站\72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe
文件大小：
492 Kb
内部名称：
无内部名称
文件签名：
无文件签名信息
文件描述：
是一个木马
文件MD5：
993cac53e4cf21a1ba22e5e44c898a27

目测双击会杀

轩夏

ECLS Command-line scanner, version 5.0.84.0, (C) 1992-2011 ESET, spol. s r.o.
Module loader, version 1062 (20151228), build 1098
Module perseus, version 1477 (20160104), build 1723
Module scanner, version 12865 (20160113), build 27630
Module archiver, version 1244 (20160107), build 1264
Module advheur, version 1164 (20151215), build 1130
Module cleaner, version 1116 (20151113), build 1147

Command line: C:\Users\XuanXia\Desktop\。

Scan started at:   01/27/16 15:48:22

Scan completed at: 01/27/16 15:48:22
Scan time:         0 sec (0:00:00)
Total:             files - 2, objects 2
Infected:          files - 0, objects 0
Cleaned:           files - 0, objects 0

MXCERILYF!

诺顿扫描miss
改后缀双击

文件名: 72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe
威胁名称: SONAR.SelfHijack!gen1完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016/1/27 ( 16:00:07 )

上次使用时间 
2016/1/27 ( 16:00:07 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe 威胁名称: SONAR.SelfHijack!gen1
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe

____________________________

文件操作

文件: c:\users\test\desktop\ 72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe 威胁已删除
事件: 正在运行进程: c:\users\test\desktop\ 72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe 已终止
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\test\desktop\72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe, PID:1880) 未采取操作
事件: 进程启动: c:\users\test\desktop\ 72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe, PID:3096 (执行者 c:\users\test\desktop\72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe, PID:1880) 未采取操作
事件: 进程启动: c:\users\test\desktop\ 72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe, PID:1880 (执行者 c:\users\test\desktop\72361b163bc7ca8a0ecf48c037bd97d716e26527ab67b36f049cc9f9701fc9e5.exe, PID:1880) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

墨家小子

qftest 发表于 2016-1-27 14:03
MBAR同样未能阻止样本在程序数据目录生成exe

连启动项都删除了？厉害厉害~~看来MBAM收了CryptoMonitor挺划算的
可惜你不用ESET，不然试试ESET的hips拦截样本svchost那才叫爽呢

墨家小子

综合症初期患者 发表于 2016-1-27 14:21
请问一下，这个样本是怎么运行的？

我把扩展名改成EXE然后双击，没反应啊...

是要挂梯子的，不然连不回服务器，加密不了

墨家小子

qftest 发表于 2016-1-27 14:03
MBAR同样未能阻止样本在程序数据目录生成exe

对了，你试过WinAntiRansom Plus没有
https://www.winpatrol.com/WinAntiRansom/

qftest

墨家小子 发表于 2016-1-27 16:55
对了，你试过WinAntiRansom Plus没有
https://www.winpatrol.com/WinAntiRansom/

我在之前就试过这只狗了，没用的，完美加密