最新国产勒索软件-过小红伞和火绒主防

tg123321

驭龙 发表于 2016-8-10 09:47
那也没办法，反正我现在对WD很失望

然而wd已经把这个病毒杀了

Eset小粉絲

Avira 云跟你打

Type:        File
Source:        C:\Users\User\Desktop\protect.exe
Status:        Infected
Quarantine object:        03414920.qua
Restored:        NO
Uploaded to Avira:        NO
Operating system:        Windows XP/VISTA Workstation/Windows 7
Search engine:        8.03.40.122
Virus definition file:        8.12.111.58
Detection:        HEUR/APC (Cloud)
Date/Time:        8/10/2016, 9:49

驭龙

tg123321 发表于 2016-8-10 09:51
然而wd已经把这个病毒杀了

http://bbs.kafan.cn/thread-2051621-1-1.html
仅此而已。

Johnkay.Young

Eset小粉絲 发表于 2016-8-10 09:53
Avira 云跟你打

Type:        File

是双击的吗，我这里onaccess没反应，是否onaccess没有apc？

tg123321

malware defender再次成功干掉勒索

2016-8-10 10:25:15    创建新进程    允许
进程: c:\windows\explorer.exe
目标: f:\virustest\protect\protect.exe
命令行: "F:\virustest\protect\protect.exe"
规则: [应用程序]c:\windows\explorer.exe -> [子应用程序]?:\*.*

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\mscoree.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\microsoft.net\framework\v4.0.30319\mscoreei.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\imm32.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\lpk.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\usp10.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\microsoft.net\framework\v2.0.50727\mscorwks.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\winsxs\x86_microsoft.vc80.crt_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_e6967989\msvcr80.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:15    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\winsxs\x86_microsoft.windows.common-controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:19    修改注册表值    阻止
进程: f:\virustest\protect\protect.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\TerryTian\Application Data
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-10 10:25:19    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\assembly\nativeimages_v2.0.50727_32\mscorlib\e13cbeecabc446469329638349e0be26\mscorlib.ni.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:19    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\uxtheme.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:19    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\msctf.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    修改注册表值    阻止
进程: f:\virustest\protect\protect.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\TerryTian\Local Settings\Temporary Internet Files
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\microsoft.net\framework\v2.0.50727\mscorjit.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\assembly\nativeimages_v2.0.50727_32\system\1d7ec6b4924e014ea5e8d01737ff9872\system.ni.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    修改文件    阻止
进程: f:\virustest\protect\protect.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\psapi.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\microsoft.net\framework\v2.0.50727\culture.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\assembly\nativeimages_v2.0.50727_32\system.drawing\8d08af488b12c448b8d96d5dbb5c574e\system.drawing.ni.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\assembly\nativeimages_v2.0.50727_32\system.windows.forms\b993669d532a9f4389e460651e5791b4\system.windows.forms.ni.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\xpsp2res.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:21    修改文件    阻止
进程: f:\virustest\protect\protect.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-10 10:25:21    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\shfolder.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:22    修改注册表值    阻止
进程: f:\virustest\protect\protect.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Local AppData
值: C:\Documents and Settings\TerryTian\Local Settings\Application Data
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-10 10:25:23    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\rsaenh.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:24    修改注册表值    阻止
进程: f:\virustest\protect\protect.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]● 行为测试规则 -> [注册表组]◆ 系统相关设置（阻止） -> [注册表]*\Microsoft\Windows\CurrentVersion\Explorer\*Shell Folders*

2016-8-10 10:25:24    修改文件    阻止
进程: f:\virustest\protect\protect.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]● 行为测试规则 -> [文件组]# 所有命名管道 -> [文件]\device\namedpipe\*

2016-8-10 10:25:24    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\apphelp.dll
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:25    创建新进程    阻止
进程: f:\virustest\protect\protect.exe
目标: c:\program files\common files\microsoft shared\dw\dw20.exe
命令行: dw20.exe -x -s 424
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:25    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\system32\msctfime.ime
规则: [应用程序组]● 行为测试规则

2016-8-10 10:25:29    加载动态链接库    允许
进程: f:\virustest\protect\protect.exe
目标: c:\windows\microsoft.net\framework\v2.0.50727\diasymreader.dll
规则: [应用程序组]● 行为测试规则

爱shang

http://tav.qq.com/index/newsDetail/246.html
貌似是这个啊

tg123321

爱shang 发表于 2016-8-10 10:29
http://tav.qq.com/index/newsDetail/246.html
貌似是这个啊

不是这个，这个在另一个贴子里
http://bbs.kafan.cn/thread-2041954-1-1.html

电脑发烧友

EMS，拦截修改文档不难，但是判断是否是恶意的就不简单了，EMS做得不错

eeffi

卡巴2017 miss 全被加密

pal家族

电脑发烧友 发表于 2016-8-10 10:41
EMS，拦截修改文档不难，但是判断是否是恶意的就不简单了，EMS做得不错

哦，你可以试试用修改版acdsee
http://bbs.kafan.cn/thread-2046981-1-1.html
手动一次性修改并保存几个jpg，看看有没有发生

我是见识趋势了，这么做就把acdsee删掉了