关于360拦截文档敲诈者的一点解惑

vm001

测试样本就是@墨家小子在咱们论坛提供的

样本运行后注入explorer


如果这步拦截了或者说没成功就注入svchost


如果注入explorer成功（我用360选择允许注入）
就会写启动项和由explorer来注入svchost




如果注入svchost没成功，那么样本不再会有动作（我们选择允许）


允许之后傀儡进程会修改文档图片文件，这时候360会拦截


启动文件的拦截



这时候360就默认阻止进程的全部行为了，看下图
这是样本已经创建的加密文件和我的测试原本文件



360拦截了文档修改和重命名，所以我的原本文件还在



然后我们退出360，就md监视一步一步看样本关键动作
允许样本创建一个加密文件


看文件对应加密文件的md5（是否是加密对应的从文件大小来判断）


看原文件的md5


接着样本会创建一个与原文件同名的文件在同目录下
（由于我虚拟机没有md5查看，所以需要拖到实机来看md5）



同名文件是被加密的（这时候后缀名还没改）


然后正常情况下，样本会把加密文件重命名一下加上一个随机命名的后缀
我这里这次没有跑出这个行为，但是论坛曾经有这样的求助
比如


然后再测试就没什么行为了，都不加密了
当然还有现在就改成乱七八糟名字随机后缀名的

dupontjoy

感謝分享!

HEMM

我依稀记得环境是64位，WIN8.1或以上系统的。虽然我并不怎么看.....
不过感谢分享，32位的拦截之路

windows7爱好者

系统环境不一样，也没必要测试了吧

275751198

不同的变种把，有的改名，有的不改名，总之都加密了。问题是360出现文档被加密的拦截之后文件仍然被加密，也就是说360的拦截规则是修改文件名而不是加密文件。

vm001

275751198 发表于 2016-1-31 15:56
不同的变种把，有的改名，有的不改名，总之都加密了。问题是360出现文档被加密的拦截之后文件仍然被加密， ...

两个行为都可以拦截成功，至于@windows7爱好者的环境为什么拦截失败，这个问题就不是我能说清楚了

windows7爱好者

vm001 发表于 2016-1-31 16:20
两个行为都可以拦截成功，至于@windows7爱好者的环境为什么拦截失败，这个问题就不是我能说清楚了

我的数字永远只能拦截重命名

墨家小子

什么系统啊，X几几的啊？有没有win8.1 \ win10(X64)的重现一下啊?录像没有啊？用的什么版本的数字啊？测试帖在哪啊？

275751198

vm001 发表于 2016-1-31 16:20
两个行为都可以拦截成功，至于@windows7爱好者的环境为什么拦截失败，这个问题就不是我能说清楚了

你的这个帖子里文件不也被加密了吗？

vm001

275751198 发表于 2016-1-31 19:42
你的这个帖子里文件不也被加密了吗？

被加密的我关闭360防御了为了看修改前后的md5