Ransomware.DMALocker

230f4

icedream89 发表于 2016-2-9 01:30
ESS9 miss
NS下双击了一下- -  卡U无比，被添加启动项，太卡U我手动结束掉进程。

多试两三次，sonar应该行的。

icedream89

230f4 发表于 2016-2-9 01:35
多试两三次，sonar应该行的。

感觉没加密成功，我结束太早了难道？太晚了我已经睡了，还要早起，楼主晚安咯=￣ω￣=

windows7爱好者

漂亮
无启动项
图中的那个是上次测试别的样本之后死掉的启动项，不是这次的
再撸一次，补一张图

xiaoxiaode1994

ESET检出：
https://www.virusbook.cn/report/ ... f2d9c-1454984791493

另外动态行为看，确实像Ransomware：

文件行为：
C:\Documents and Settings\All Users\cryptinfo.txt
C:\Documents and Settings\All Users\decrypting.txt
C:\Documents and Settings\All Users\start.txt
C:\\*.*
C:\agent.py



注册表行为

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_USERS\S-1-5-21-606747145-1957994488-772054019-500
HKEY_USERS\S-1-5-21-606747145-1957994488-772054019-500\SOFTWARE\Microsoft\Cryptography\Providers\Type 001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\Microsoft Strong Cryptographic Provider
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager

fuzhk

230f4

fuzhk 发表于 2016-2-9 11:25

有发现衍生物未清除、被加启动项之类后遗症吗？

fuzhk

230f4 发表于 2016-2-9 11:32
有发现衍生物未清除、被加启动项之类后遗症吗？

没有，我见到FS这个基本都是单步拦截，启动程序就被阻止，不会有行为的。

230f4

fuzhk 发表于 2016-2-9 11:36
没有，我见到FS这个基本都是单步拦截，启动程序就被阻止，不会有行为的。

没有行为是最好的。感谢测试，今天内补人气。

aboringman

230f4 发表于 2016-2-9 11:40
没有行为是最好的。感谢测试，今天内补人气。

默默地看到了Online，恍然大悟，本体根本木有跑起来。。。。。。

nick20010117

230f4 发表于 2016-2-9 11:32
有发现衍生物未清除、被加启动项之类后遗症吗？

这个应该是云拉黑（信誉杀），双击就会封锁，进程都没有出现