收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 勒索软件家族新成员Maktub locker ransomware：每次运行 ...
12345678910... 11下一页
返回列表 发新帖
楼主: 230f4
 收起左侧

[病毒样本] 勒索软件家族新成员Maktub locker ransomware：每次运行都有新体验

  [复制链接]
cfhdrty
发表于 2016-3-22 20:28:15 | 显示全部楼层
windows7爱好者 发表于 2016-3-22 20:25
SW回滚不可能这么逆天，也许压根就没有加密成功，只是改了扩展名罢了
你可以问@pal家族

666，他的福利帖就提到可以回滚加密啊
回复

举报

pal家族
发表于 2016-3-22 20:28:40 | 显示全部楼层
windows7爱好者 发表于 2016-3-22 20:25
SW回滚不可能这么逆天，也许压根就没有加密成功，只是改了扩展名罢了
你可以问@pal家族

确实，SW不如ATC，只要符合这个特点的，发言一定正确！
回复

举报

诸葛亮
发表于 2016-3-22 20:56:27 | 显示全部楼层
windows7爱好者 发表于 2016-3-22 20:25
SW回滚不可能这么逆天，也许压根就没有加密成功，只是改了扩展名罢了
你可以问@pal家族

也可以认为卡巴可以回滚加密文件，加密勒索在加密文件之前，卡巴会将文件复制一份，然后还原。



http://support.kaspersky.com/11155#block1

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

windows7爱好者
发表于 2016-3-22 21:01:23 | 显示全部楼层
诸葛亮 发表于 2016-3-22 20:56
也可以认为卡巴可以回滚加密文件，加密勒索在加密文件之前，卡巴会将文件复制一份，然后还原。

这样啊，感谢解答
回复

举报

tgzw1680
发表于 2016-3-22 21:06:14 | 显示全部楼层
本帖最后由 tgzw1680 于 2016-3-22 14:08 编辑
windows7爱好者 发表于 2016-3-22 13:21
被加密的东西理论上是无法回滚的


卡巴的回滚绝对是真回滚，和有些软件只是恢复注册表或者生成文件删除不同。我是看着桌面上的rar变成加密状态然后回滚恢复的。。。。所以用卡巴的要养成习惯，过一段时间把基本认为正常的文件都自动到信任组里面，理论上可以优化一下系统
回复

举报

pal家族
发表于 2016-3-22 21:16:45 | 显示全部楼层
诸葛亮 发表于 2016-3-22 20:56
也可以认为卡巴可以回滚加密文件，加密勒索在加密文件之前，卡巴会将文件复制一份，然后还原。

事实上是，有不少情况下，卡巴回滚失败了。
只能说，软件设计有这个功能，但，病毒总是走在前面，主防的机制常常会落后
回复

举报

cfhdrty
发表于 2016-3-22 21:17:10 | 显示全部楼层
tgzw1680 发表于 2016-3-22 21:06
卡巴的回滚绝对是真回滚，和有些软件只是恢复注册表或者生成文件删除不同。我是看着桌面上的rar变成加 ...

信任组不是程序控制的功能吗，回滚也不需要开程序控制啊
回复

举报

诸葛亮
发表于 2016-3-22 21:19:52 | 显示全部楼层
pal家族 发表于 2016-3-22 21:16
事实上是，有不少情况下，卡巴回滚失败了。
只能说，软件设计有这个功能，但，病毒总是走在前面，主防的 ...

虽说如此，不过多多少少的能减少一些损失。
回复

举报

左手
发表于 2016-3-22 21:20:04 | 显示全部楼层
本帖最后由 左手 于 2016-3-22 21:23 编辑

[mw_shl_code=css,true]2016-3-22 21:17:38    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:44    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:44    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:47    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:47    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:47    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:47    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: C:\Documents and Settings\Administrator\My Documents
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:47    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:47    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:47    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:47    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:47    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:51    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: C:\Documents and Settings\Administrator\My Documents
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:51    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:51    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:51    修改注册表值 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Desktop
值: C:\Documents and Settings\All Users\桌面
规则: [应用程序]* -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:51    向其他进程发送消息 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: c:\windows\system32\csrss.exe
消息: 0x03E0
规则: [应用程序]?:\*\*\*\*\* -> [目标应用程序]D+_系统优先进程

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
规则: [文件组]拦截_{应用软件保护}常见软件 -> [文件]c:\program files\microsoft office\*

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:51    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker ransomware.exe
目标: C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
规则: [文件组]拦截_{应用软件保护}常见软件 -> [文件]c:\program files\microsoft office\*

2016-3-22 21:17:52    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:17:52    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: D:
规则: [文件组]拦截_隐藏磁盘 -> [文件]d:\*

2016-3-22 21:17:52    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: E:
规则: [文件组]拦截_隐藏磁盘 -> [文件]e:\*

2016-3-22 21:17:52    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: F:
规则: [文件组]拦截_隐藏磁盘 -> [文件]f:\*

2016-3-22 21:17:52    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: H:
规则: [文件组]拦截_隐藏磁盘 -> [文件]h:\*

2016-3-22 21:17:52    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: G:
规则: [文件组]拦截_隐藏磁盘 -> [文件]g:\*

2016-3-22 21:17:52    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\NetworkService\Cookies
规则: [文件组]终止_禁读 -> [文件]*; cookie*

2016-3-22 21:17:52    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:18:09    创建文件 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\temp.txt.fdboepj
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:09    创建文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Default User\Templates\winword.doc.fdboepj
规则: [应用程序]??* -> [文件]c:\documents and settings\default user\*

2016-3-22 21:18:09    创建文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Default User\Templates\wordpfct.wpd.fdboepj
规则: [应用程序]??* -> [文件]c:\documents and settings\default user\*

2016-3-22 21:18:09    创建文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Default User\Templates\winword2.doc.fdboepj
规则: [应用程序]??* -> [文件]c:\documents and settings\default user\*

2016-3-22 21:18:09    创建文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Default User\Templates\quattro.wb2.fdboepj
规则: [应用程序]??* -> [文件]c:\documents and settings\default user\*

2016-3-22 21:18:09    创建文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Default User\Templates\powerpnt.ppt.fdboepj
规则: [应用程序]??* -> [文件]c:\documents and settings\default user\*

2016-3-22 21:18:09    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:18:18    创建文件 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\Resource\电子书\《异世雷皇》作者：逍耳钉.txt.fdboepj
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:23    创建文件 风险级别:未知    允许
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\Resource\电子书\黄金鬼瞳.txt.fdboepj
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:23    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:18:23    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\{A4A8723A-44EA-465e-A48F-1A700FC991C7}
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:18:27    修改文件 风险级别:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\《天灾变》（校对版全本）作者：天羽龙翔.txt
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:31    修改文件 风险级别:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\Resource\电子书\《仙狱》作者：两包烟.txt
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:31    读文件 风险级别:未知 (2)    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\browser
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:18:31    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\wkssvc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:18:31    读文件 风险级别:未知    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-3-22 21:18:36    创建文件 风险级别:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\Resource\电子书\鬼吹灯之圣泉寻踪.txt.fdboepj
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:41    删除文件 风险级别:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\temp.txt
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:44    删除文件 风险级别:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\Resource\电子书\《异世雷皇》作者：逍耳钉.txt
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*

2016-3-22 21:18:46    删除文件 风险级别:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\Documents and Settings\Administrator\桌面\Resource\电子书\黄金鬼瞳.txt
规则: [应用程序]?:\*\*\*\*\* -> [文件]c:\documents and settings\*\桌面\*
[/mw_shl_code]

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x

评分

参与人数 1人气 +1 收起 理由
230f4 + 1 版区有你更精彩： ）

查看全部评分

回复

举报

pal家族
发表于 2016-3-22 21:23:59 | 显示全部楼层
诸葛亮 发表于 2016-3-22 21:19
虽说如此，不过多多少少的能减少一些损失。

有总比没有好哒。
只是，由于卡巴静态扫描比较强，SW的特征更新的比较慢，这个真比不上SONAR。
回复

举报

下一页 »
12345678910... 11下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-5-15 13:37 , Processed in 0.091614 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表