勒索软件家族新成员Maktub locker ransomware：每次运行都有新体验

左手

[mw_shl_code=css,true]2016-3-22 21:24:24    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: D:
规则: [文件组]拦截_隐藏磁盘 -> [文件]d:\*

2016-3-22 21:24:24    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: F:
规则: [文件组]拦截_隐藏磁盘 -> [文件]f:\*

2016-3-22 21:24:24    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: E:
规则: [文件组]拦截_隐藏磁盘 -> [文件]e:\*

2016-3-22 21:24:24    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: G:
规则: [文件组]拦截_隐藏磁盘 -> [文件]g:\*

2016-3-22 21:24:24    读文件夹 风险级别:低    阻止
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: H:
规则: [文件组]拦截_隐藏磁盘 -> [文件]h:\*

2016-3-22 21:24:24    读文件夹 风险级别:低    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\maktub locker\maktub locker.exe
目标: C:\a
规则: [应用程序组]D+_Documents -> [应用程序]c:\documents and settings\*\* -> [文件组]终止_高优先 -> [文件]?:\; ?
[/mw_shl_code]第二次。动作不一样。

dongwenqi

墨家小子 发表于 2016-3-22 15:34

你没装卡巴么

ccboxes

tgzw1680 发表于 2016-3-22 16:48
很有意思的样本，完全躲过了bd的拦截点，理论上过不了回滚，卡巴应该应该可以回滚，因为没有停那15秒的特征 ...

然而完美拦截并没有被加密，至于那个所谓的延迟十五秒是用来躲动态启发的，也根本不是来对抗主防回滚的。

rrorr

windows7爱好者 发表于 2016-3-22 20:26
楼上BD不是杀了吗

BD杀了但是文件也已经加密一部分了

windows7爱好者

rrorr 发表于 2016-3-22 22:10
BD杀了但是文件也已经加密一部分了

@ccboxes
这位小哥说完美拦截

rrorr

windows7爱好者 发表于 2016-3-22 22:18
@ccboxes
这位小哥说完美拦截

难道就像19L和标题说的一样“每次运行都有新体验”

ccboxes

windows7爱好者 发表于 2016-3-22 22:18
@ccboxes
这位小哥说完美拦截

唉~~~不可能啊，他勒索防护没开？

windows7爱好者

果然蜘蛛不会让我失望
单独的DPH，未被加密，勒索防护可以的

@nick20010117，来庆祝一波
大家可以选择单独的DPH作为勒索防护的一款软件，占用很小，-------如果你的杀软没有勒索防护

rrorr

ccboxes 发表于 2016-3-22 23:06
唉~~~不可能啊，他勒索防护没开？

勒索防护不是针对特定文件夹的吗？

ccboxes

rrorr 发表于 2016-3-22 23:16
勒索防护不是针对特定文件夹的吗？

可以自己加啊，我把我所有有文档的文件夹都加上了。