Detection ratio: 3 / 54 加密勒索挂马 Vs 诺顿多重防御之下载智能分析

断簪

ESET 杀掉

windows7爱好者

好久不见的DPD
墨家，说好的吹一波蜘蛛

windows7爱好者

qftest 发表于 2016-3-5 18:04
恩恩我错了，数字的分类搞不太懂，并非一定是07.1

qvm19.1或者07.1，加密一般就是这两个，但是这个根据蜘蛛的报毒名，应该是加密啊，为什么

rrorr

.mp3加密

墨家小子

windows7爱好者 发表于 2016-3-5 19:02
好久不见的DPD
墨家，说好的吹一波蜘蛛

等我想好广告词的

墨家小子

rrorr 发表于 2016-3-5 19:14
.mp3加密

说出你的事故？

rrorr

墨家小子 发表于 2016-3-5 19:17
说出你的事故？

每次恢复快照都要等几分钟才能双击也是挺烦的

gaojun7206

AVA 25.5760
GD 25.6472

*** 进程 ***

进程: 160
文件名: 99df.tmp.exe
路径: c:\users\desktop\99df.tmp\99df.tmp.exe

发行商：: 未知发行商

启动进程：: explorer.exe
发行商：: Microsoft Windows


*** 操作 ***

程序文件被误导性命名以欺骗用户（例如：Image.jpg.exe）
程序正试图建立自启动项，以在系统启动时自动运行。
程序已创建或已操作可执行文件。
该程序可以用户执行任何程序代码。
程序进行了自我复制。
可疑位置为启动区域。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\Desktop\99DF.tmp\99DF.tmp.exe
c:\users\documents\hpjjgseyhheo.exe

下列注册表项被删除：

\registry\user\s-1-5-21-2207922636-1183989064-2069173243-1000\software\microsoft\windows\currentversion\run || xlcakkv

YGLxl6IJLCcpJiYnCS0nJycnJgYuJ2pygikn13AmJykmJicJh3JycnJiYnAqdKJCJyd0knArJyonJycJ6HKSYmJykpArFn8pp5AtJwnpcoJiYnKCoCwnKCYmJwj8cnJycmJi0CgnKCYmJwjtcoJiYnKC8CwnJycnJgZ3KicJhywnJyYmJwenKxmWNWYrKhn7NWYrJxmWNWYrCccvJysmJicL5ygn53CecnInJ3diYoCWcoKA+3KCcoJiYgAA
规则版本： 5.0.87
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\Desktop\99DF.tmp\99DF.tmp.exe"
MD5:
C:\Windows\Explorer.EXE
MD5:

gaojun7206

AVA 25.5760
GD 25.6472

*** 进程 ***

进程: 2520
文件名: ovakakohveab.exe
路径: c:\users\documents\ovakakohveab.exe

发行商：: 未知发行商
创建日期: 03/05/16 13:04:14
修改日期: 03/05/16 09:32:10

启动进程：: b0f6.tmp.exe
发行商：: 未知发行商


*** 操作 ***

程序正试图建立自启动项，以在系统启动时自动运行。
可疑位置为启动区域。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\Documents\ovakakohveab.exe

下列注册表项被删除：

\registry\user\s-1-5-21-2207922636-1183989064-2069173243-1000\software\microsoft\windows\currentversion\run || vapmgkw

YGLhfHIKLCcpJykmBi4np3JyKiYGZ3KCcoJiYnAqdIJCJygmBrdygnKCYmKALicpJykmBrli4XxyCNlykuAtFigIdyonCYcsJycnJyYGpysZ+zVmKycZ+zVmKycmBucoJ5cAAA
规则版本： 5.0.87
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 64bit OS
DLL版本： 55982

C:\Users\Documents\ovakakohveab.exe
MD5: 6954532F16A76E91772F7A8FE4A0AD3A
"C:\Users\Desktop\B0F6.tmp\B0F6.tmp.exe"
MD5:

伤花

多谢楼主分享，哪搞的那么多样本？