File name: C59.tmp.exe Detection ratio: 2 / 54 加密勒索挂马 ESET hips拦截注入

windows7爱好者

墨家小子 发表于 2016-1-29 21:16
win10 X64下数字这么惨吗

这个更惨，没有修改文档提示，启动项拦截失败

墨家小子

windows7爱好者 发表于 2016-1-29 21:17
这个更惨，没有修改文档提示，启动项拦截失败

@360客服 来看看

vm001

windows7爱好者 发表于 2016-1-29 21:17
这个更惨，没有修改文档提示，启动项拦截失败

你的样本是在哪里运行的？实机还是实机沙盘里，还是虚拟机里？http://bbs.kafan.cn/thread-1936314-1-1.html这个他也是win1064位系统完全可以拦截，昨天的样本我找了下防御的工作人员，人家测试也可以拦截，你这里有点怪了，360是国内版还是国际版，你的360设置是如何的？对于360如果报毒的情况下，是如何把样本置灰的，不会是删除了360的什么文件了吧

windows7爱好者

vm001 发表于 2016-1-29 21:35
你的样本是在哪里运行的？实机还是实机沙盘里，还是虚拟机里？http://bbs.kafan.cn/thread-1936314-1-1.h ...

纯实机，国际版，设置为最严格，弹窗为所有类型手动弹出，不自动处理，下载报毒恢复一下就好了，文件是好的

windows7爱好者

vm001 发表于 2016-1-29 21:35
你的样本是在哪里运行的？实机还是实机沙盘里，还是虚拟机里？http://bbs.kafan.cn/thread-1936314-1-1.h ...

而且，他的系统确定是win10  64位？
2.你让他好好检查下文档被加密了没

windows7爱好者

我没必要豁出自己电脑专程来黑数字

vm001

windows7爱好者 发表于 2016-1-29 21:36
纯实机，国际版，设置为最严格，弹窗为所有类型手动弹出，不自动处理，下载报毒恢复一下就好了，文件是好 ...

刚才看了下，你是在压缩包里直接运行的？你解压出来以后执行样本看看能不能拦截，如果能，那问题有可能就清楚了，和我之前发现的现象差不多

vm001

windows7爱好者 发表于 2016-1-29 21:39
我没必要豁出自己电脑专程来黑数字

你误会了，我没有意思说你在黑数字，是想发现问题

windows7爱好者

vm001 发表于 2016-1-29 21:40
刚才看了下，你是在压缩包里直接运行的？你解压出来以后执行样本看看能不能拦截，如果能，那问题有可能就 ...

第一次我是解压出来管理员身份运行了，后来双击了好几次，有在压缩包里双击过几次，因为解压出来的源文件注入系统进程后经常自动删除，每次都要解压麻烦

aboringman

ESET：

扫描：killed；

Time;Scanner;Object type;Object;Threat;Action;User;Information;Hash

2016/1/29 21:44:12;Real-time file system protection;file;C:\Users\kiiler\Desktop\C59.tmp.exe;Win32/Filecoder.CryptoWall.G trojan;cleaned by deleting;;Event occurred on a new file created by the application: D:\Haozip\HaoZip.exe (2C2CD81A6FDCB4A93E9546B01FE0A7B3334ECDE1).;AB131299FF3B1E598659F90662C79970BD0916C5

双击：关闭监控，实机双击，AMS再度现身。

Time;Scanner;Object type;Object;Threat;Action;User;Information;Hash

2016/1/29 21:45:23;Advanced memory scanner;file;Operating memory » C:\Users\kiiler\Desktop\C59.tmp.exe;a variant of Win32/Filecoder.CryptoWall.G trojan;cleaned;;;5E3AAECCEC12067D4B03355143718168A063DFCD