过SEP14勒索一枚，实机败北

显示全部楼层 · 发表于 2016-10-3 08:23:18

大BD引擎

显示全部楼层 · 发表于 2016-10-3 09:06:11

无法理解的是MSE 这情况。

双击以后，桌面上的文件全部被加密，之后MsMpEng进程开始与样本一起吃CPU，半个小时过去了，MSE没有杀样本，而样本也没有再加密文件，个人文档位置的图片 MP3 视频，都安然无恙，勒索信没有出现，桌面也没有被替换。

显示全部楼层 · 发表于 2016-10-3 09:06:39

驭龙发表于 2016-10-3 07:31
我之前就说过SEP 14杀勒索并不完美，不是么

没想到过得这么轻松

显示全部楼层 · 发表于 2016-10-3 09:07:37

windows7爱好者发表于 2016-10-3 09:06
没想到过得这么轻松

我之前也被勒索了

显示全部楼层 · 发表于 2016-10-3 09:09:59

电脑发烧友发表于 2016-10-3 08:05
发作方式从行为上看不出什么异常，
遍历目录—加密文件，甚至连一个子进程都没有，或许过于简单的行为容易 ...

加密的同时进行拷贝，然后删除源文件，留下被加密的文件

显示全部楼层 · 发表于 2016-10-3 09:12:09

驭龙发表于 2016-10-3 09:06
无法理解的是MSE 这情况。

双击以后，桌面上的文件全部被加密，之后MsMpEng进程开始与样本一起吃CPU，半 ...

这个样本没有勒索信，不改桌面
加密完后源样本就会自动变成解密程序，就是那个小丑
你看看双击源样本，会出现不

显示全部楼层 · 发表于 2016-10-3 09:14:52

windows7爱好者发表于 2016-10-3 09:09
加密的同时进行拷贝，然后删除源文件，留下被加密的文件

soga

显示全部楼层 · 发表于 2016-10-3 09:34:18

windows7爱好者发表于 2016-10-3 09:12
这个样本没有勒索信，不改桌面
加密完后源样本就会自动变成解密程序，就是那个小丑
你看看双击源样本， ...

什么都没有啊，没有小丑，我还想看看呢，没看到

显示全部楼层 · 发表于 2016-10-3 09:36:26

驭龙发表于 2016-10-3 09:34
什么都没有啊，没有小丑，我还想看看呢，没看到

....那就是加密未完成，没出现？
我1L发了，加密完成后自动弹出来

显示全部楼层 · 发表于 2016-10-3 09:48:16

windows7爱好者发表于 2016-10-3 09:36
....那就是加密未完成，没出现？
我1L发了，加密完成后自动弹出来

理论上是这样的，因为MSE的MsMpEng一直在不停的跟踪，具体做什么不知道，而且日志上有标记64个文件没有标记Fallback not 什么的信息

[病毒样本] 过SEP14勒索一枚，实机败北