湾湾的加密勒索……

轩夏

刚刚抓到的，不对质量保证，不想下、不想回、不想测的就跳过好咯
楼楼不生产样本，只是样本的搬运工


JS脚本，这里对JS说明下，JS解密后发现下载一个被混淆的PE，然后解密EXE，然后运行。
新模式，原来就是混淆加密JS脚本，现在下载的东西也被混淆，一定程度能过某些弱一点的杀软


衍生物

蓝天二号

火绒




运行一段时间后，，，，


McAfee  KILL

skyboybone

exe miss
exe成功运行 垃圾

Eset小粉絲

Avira 清空

小难民

所以我用的这个比较弱吗？
WStsks3nC.rar > RAR > WStsks3nC.exe - Win32/Kryptik.EYDH 特洛伊木马 的变种 - 已删除

心醉咖啡

360扫描   js脚本miss，衍生物kill

轩夏

小难民 发表于 2016-5-24 16:00
所以我用的这个比较弱吗？
WStsks3nC.rar > RAR > WStsks3nC.exe - Win32/Kryptik.EYDH 特洛伊木马 的变种 ...

不敢不敢，大ESET呢，很厉害的

胖福

文件名: wstsks3nc.exe
威胁名称: SONAR.Heuristic.144
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,  极新的文件,  风险 高





原始
下载自
 未知





活动
已执行的操作: 23



____________________________



在电脑上的创建时间 
2016-5-24 ( 16:09:09 )


上次使用时间 
2016-5-24 ( 16:09:09 )


启动项目 
否


已启动 
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
wstsks3nc.exe




____________________________

文件操作

文件: c:\users\administrator\appdata\local\temp\ wstsks3nc.exe 已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\ Al6e6G2er6 已删除
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ WStsks3nC_RASAPI32 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ WStsks3nC_RASMANCS 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ WStsks3nC_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 c:\users\administrator\appdata\local\temp\wstsks3nc.exe, PID:2768) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\administrator\appdata\local\temp\wstsks3nc.exe, PID:2768) 未采取操作
(执行者 c:\users\administrator\appdata\local\temp\wstsks3nc.exe, PID:2768) 未采取操作
事件: 进程启动: c:\users\administrator\appdata\local\temp\ wstsks3nc.exe, PID:2768 (执行者 c:\users\administrator\appdata\local\temp\wstsks3nc.exe, PID:2768) 未采取操作
____________________________

可疑操作

(执行者 c:\users\administrator\appdata\local\temp\wstsks3nc.exe, PID:2768) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

pal家族

Infected 1
1. history.8136.js.js.js
Scan result        File is infected
Found threats        HEUR:Trojan-Downloader.Script.Generic
File size        9.60KB
File type        TXT
Date of scan        2016-05-24 19:57:56
Bases release date        2016-05-24 11:39:46 UTC
MD5        11a76982dc6f43d418ba60b5820e357e
SHA1        a32c8bfe6adfd45b6ad9dec70403a127a62f9d5e
SHA256
5d3814a1fcc6e7eb5c8f2b7002b76fcabc8dcf12ecfe29c0c20ebdfe667cc617


Infected 1
1. WStsks3nC.exe
Scan result        File is infected
Found threats        Trojan-Ransom.Win32.Locky.aac
File size        148.00KB
File type        PE32/EXE
Date of scan        2016-05-24 19:58:13
Bases release date        2016-05-24 11:39:46 UTC
MD5        3224504c6473ad889cedbe462f98ee3d
SHA1        e9704573072c7394ef371d4c1df7676cc2fb4e56
SHA256
005379d459dc220897a47d234ef39e4005f2997ae7995753c8635b25fb095d93

Kaspersky kill all

3801187