W32/Kryptik.EYFY!tr

白露为霜

[mw_shl_code=css,true]W32/Kryptik.EYFY!tr[/mw_shl_code]

文件类型	PE32 executable for MS Windows (GUI) Intel 80386 32-bit
文件大小	182784 字节
MD5	52c3b6ed9043bba5da4fb4e6b39a37cb

[mw_shl_code=css,true]Trojan:W97M/MaliciousMacro.GEN[/mw_shl_code]

文件类型	Zip archive data, at least v2.0 to extract
文件大小	62038 字节
MD5	3f2e23d3726ac66722a0455ba5a3d1be

心醉咖啡

360
第一个QVM19.1
第二个宏病毒

Eset小粉絲

W2000M/Agent.48964 macro virus
TR/Crypt.EPACK.epin Trojan

japan

卡巴 全miss

蓝天二号

McAfee

好想用EMSI

AVG全miss

轩夏

金山
Win32.Heur.KVMH008.a.(kcloud)

liulangzhecgr

呵呵！咋最后没出来锁屏敲诈？！而无限循环修改文档文件...

请问敲诈病毒到底修改什么扩展名的文档？！

2016/5/26 08:59:00    修改其他进程的线程    允许
进程: c:\windows\system32\services.exe
目标: g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe
规则: [应用程序]c:\windows\system32\services.exe

2016/5/26 08:59:23    访问网络    允许
进程: g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe
目标: TCP [本机 : 50241] ->  [91.200.14.139 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2016/5/26 09:03:05    创建新进程    允许
进程: g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe
目标: c:\windows\system32\vssadmin.exe
命令行: vssadmin.exe Delete Shadows /All /Quiet
规则: [应用程序组]病毒测试 -> [子应用程序]*

2016/5/26 09:03:58    向其他进程发送消息    允许
进程: c:\windows\system32\conhost.exe
目标: c:\windows\system32\vssadmin.exe
消息: WM_GETICON
规则: [应用程序]*

2016/5/26 09:06:50    访问COM接口    允许
进程: c:\windows\system32\vssadmin.exe
目标: {E579AB5F-1CC4-44B4-BED9-DE0991FF0623} VSS.VSSCoordinator.1
规则: [应用程序组]病毒测试 -> [COM接口]*

2016/5/26 09:09:28    修改文件    阻止
进程: g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe
目标: D:\VFP\dat\fciv\md5\test.txt
规则: [应用程序组]病毒测试 -> [应用程序]g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe -> [文件]d:\*

2016/5/26 09:15:53    创建文件    允许
进程: g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe
目标: C:\ProgramData\Microsoft\Device Stage\Device\{8702d817-5aad-4674-9ef3-4d3decd87120}\E1F307E32F508745F748B8FD09377F21.locky
规则: [应用程序组]病毒测试 -> [应用程序]g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe -> [文件]c:\*

2016/5/26 09:16:11    创建文件    允许
进程: g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe
目标: C:\ProgramData\Microsoft\Device Stage\Device\{8702d817-5aad-4674-9ef3-4d3decd87120}\_HELP_instructions.html
规则: [应用程序组]病毒测试 -> [应用程序]g:\download\新建压缩(zipped)文件夹 (6)\nistioj..exe -> [文件]c:\*

XZ8SM7Sx0bVkoUV

火绒

魔卡卡

liulangzhecgr 发表于 2016-5-26 09:36
呵呵！咋最后没出来锁屏敲诈？！而无限循环修改文档文件...

请问敲诈病毒到底修改什么扩展名的文 ...

都改了，把源文件变成.locky, 生成一个html就是你截图那个，再把源文件删掉。比如：

-C:\Users\Public\Music\Sample Music\Kalimba.mp3
+C:\Users\Public\Music\Sample Music\EC0AD98D81455433574C6BE28395E05E.locky
+C:\Users\Public\Music\Sample Music\_HELP_instructions.html

https://www.maldun.com/analysis/ ... cwMWRzZmFzZGZhc2Rm/
最下面修改文件那块