老将换新颜！TeslaCrypt 4.2开始铺货！今年已出现至少35种勒索软件了

显示全部楼层 · 发表于 2016-5-1 12:14:33

nick20010117 发表于 2016-5-1 11:57
FSP断网双击成功触发DG行为拦截@230f4

人气今晚补上

不过对比AVG的拦截日志后我想多问一句，FS有没有动本体啊？

显示全部楼层 · 发表于 2016-5-1 12:17:26

HEMM 发表于 2016-5-1 12:12
咦？这是什么软件的日志啊？

火绒啊

显示全部楼层 · 发表于 2016-5-1 12:26:42

230f4 发表于 2016-5-1 12:14
人气今晚补上

不过对比AVG的拦截日志后我想多问一句，FS有没有动本体啊？

由于FS没有回滚，只能对衍生物进行拦截

显示全部楼层 · 发表于 2016-5-2 08:07:34

大蜘蛛

显示全部楼层 · 发表于 2016-5-2 08:38:08

mse已隔离

显示全部楼层 · 发表于 2016-5-2 09:24:39

mse，avast已隔离删除

显示全部楼层 · 发表于 2016-5-3 08:42:41

本帖最后由 liulangzhecgr 于 2016-5-3 08:47 编辑

qftest 发表于 2016-4-29 15:33
还是老一套，vssadmin.exe哼哼没什么进步
http://bbs.kafan.cn/forum.php?mod=redirect&goto=find ...

刚才到柯林帖子去试了脚本程序.
XP时限制很多系统文件来防病毒，但WIN7 ,APPLOCKER上懒得理限制系统文件的运行。
CONHOST给VSSADMIN发送消息来看有个很微妙的感觉...不常见的系统文件运行---
待一会上网查下什么系统文件！

VSSADMIN.EXE ..(卷影复制服务). 用于卷影复制服务的命令行接口.

conhost.exe全称是Console Host Process, 即命令行程序的宿主进程。简单的说他是微软出于安全考虑，在windows 7和Windows server 2008中引进的新的控制台应用程序处理机制。

显示全部楼层 · 发表于 2016-5-3 10:43:13

微软

C:\Users\XuanXia\Desktop\TeslaCrypt 4.2\TeslaCrypt 4.2.exe Infected: Ransom:Win32/Tescrypt.A

显示全部楼层 · 发表于 2016-5-3 11:25:15

liulangzhecgr 发表于 2016-5-3 08:42
刚才到柯林帖子去试了脚本程序.
XP时限制很多系统文件来防病毒，但WIN7 ,APPLOCKER上懒得理限制系统文 ...

XP时限制很多系统文件来防病毒，但WIN7 ,APPLOCKER上懒得理限制系统文件的运行

请原谅我看不太懂，能否解释下？谢谢

显示全部楼层 · 发表于 2016-5-3 13:40:50

qftest 发表于 2016-5-3 11:25
请原谅我看不太懂，能否解释下？谢谢

像我这种禁运党来说，禁运wscript.exe,vaaadmin.exe,cmd.exe 等系统文件不影响使用电脑哦！
对MD ，规则上没有的AD 默认就询问!,其他智能貌似就要靠安全厂商或自定义来完成。

柯林帖子关机脚本，好像没有触发vssadmin.exe程序！

[病毒样本] 老将换新颜！TeslaCrypt 4.2开始铺货！今年已出现至少35种勒索软件了