老将换新颜！TeslaCrypt 4.2开始铺货！今年已出现至少35种勒索软件了

开开心心卖手机

感染: Trojan.GenericKD.3183209 (引擎A)

liulangzhecgr

2016/4/29 14:17:04    创建新进程    允许
进程: c:\windows\system32\taskmgr.exe
目标: g:\download\teslacrypt 4.2\teslacrypt 4.2.exe
命令行: "G:\Download\TeslaCrypt 4.2\TeslaCrypt 4.2.exe"
规则: [应用程序]*

2016/4/29 14:17:30    创建文件    允许
进程: g:\download\teslacrypt 4.2\teslacrypt 4.2.exe
目标: C:\Users\baba\Documents\wlrmdr.exe
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/29 14:17:42    创建新进程    允许
进程: g:\download\teslacrypt 4.2\teslacrypt 4.2.exe
目标: c:\users\baba\documents\wlrmdr.exe
命令行: C:\Users\baba\Documents\wlrmdr.exe
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/4/29 14:19:16    创建新进程    允许
进程: c:\users\baba\documents\wlrmdr.exe
目标: c:\windows\system32\svchost.exe
命令行: svchost.exe
规则: [应用程序]c:\windows\system32\svchost.exe

2016/4/29 14:19:26    结束其他进程    允许
进程: c:\users\baba\documents\wlrmdr.exe
目标: c:\windows\system32\taskmgr.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/4/29 14:19:37    修改其他进程的内存    允许
进程: c:\users\baba\documents\wlrmdr.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序组]病毒测试 -> [目标应用程序]*

2016/4/29 14:20:01    修改文件    允许
进程: c:\windows\system32\svchost.exe
目标: C:\program files\common files\thunder network\serviceplatform\stat.xml
规则: [应用程序]c:\windows\system32\svchost.exe -> [文件]*

2016/4/29 14:21:29    创建新进程    允许
进程: c:\windows\system32\svchost.exe
目标: c:\windows\system32\vssadmin.exe
命令行: "C:\Windows\System32\vssadmin.exe"  delete shadows /all /Quiet
规则: [应用程序]c:\windows\system32\svchost.exe

2016/4/29 14:21:47    修改文件    阻止
进程: c:\users\baba\documents\wlrmdr.exe
目标: C:\Users\baba\ntuser.dat.LOG1
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/29 14:22:19    向其他进程发送消息    允许
进程: c:\windows\system32\conhost.exe
目标: c:\windows\system32\vssadmin.exe
消息: WM_GETICON
规则: [应用程序]*

2016/4/29 14:22:46    创建文件    允许
进程: c:\users\baba\documents\wlrmdr.exe
目标: C:\Users\baba\Documents\-!recover!-!file!-.txt
规则: [应用程序组]病毒测试 -> [文件]*

2016/4/29 14:25:39    创建新进程    阻止并结束进程
进程: c:\users\baba\documents\wlrmdr.exe
目标: c:\windows\system32\werfault.exe
命令行: C:\Windows\system32\WerFault.exe -u -p 6064 -s 568
规则: [应用程序组]病毒测试 -> [子应用程序]*

蓝雨风暴

上边似乎已经后蛋挞的图了

qftest

liulangzhecgr 发表于 2016-4-29 14:32

还是老一套，vssadmin.exe哼哼没什么进步
http://bbs.kafan.cn/forum.php?mo ... 54&pid=37286745
任何有anti-exec功能的安软都应该考虑添加这条规则，包括vse/erp/comodo...

心醉咖啡

a1121611810 发表于 2016-4-29 13:59
这监控能砍的东西，就不去双击了，说实话我信不过管家那十分微妙的主防

管家给我的感觉只有扫描的样子，主防存在感微弱，连毒霸都不如的样子

wjy19800315

xyz0703

红伞miss...

欧阳宣

4小时足够拉黑了，所以没法知道真实情况

Artemis!B93151AED316

saga3721

红伞云查杀 'HEUR/APC (Cloud)' [heuristic]

zq19861019

Trojan.GenericKD.3183209 (Engine A)
gdata