勒索软件

qwe12301

vm001 发表于 2016-11-4 15:27
防御勒索毒霸有啥可测试的，行为上也拦截不了

嗯，下次放出来测试下。

qwe12301

vm001 发表于 2016-11-4 15:27
防御勒索毒霸有啥可测试的，行为上也拦截不了

勒索类病毒其实就是把文件加密咯，我记得以前毒霸有专门针对修改可执行性文件的拦截的
为啥这个就拦截不了？

GhibliField

我要好好学习学习

Southernstar

学习学习

左手

2017-1-10 14:18:00    访问网络    允许
进程: c:\documents and settings\administrator\桌面\2016-10-31-pseudodarkleech-rigv-payload-cerber\2016-10-31-pseudodarkleech-rigv-payload-cerber.exe
目标: UDP [本机 : 4535] ->  [194.165.16.0 : 6892]
规则: [应用程序]*.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-1-10 14:18:04    创建新进程 风险级别:未知    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\conime.exe

2017-1-10 14:18:14    创建新进程 风险级别:未知    允许
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\wbem\wmic.exe
命令行: C:\WINDOWS\system32\wbem\wmic.exe shadowcopy delete
规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\*.exe

2017-1-10 14:18:14    创建注册表项 风险级别:中    允许
进程: c:\windows\system32\wbem\wmic.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\\Microsoft\\Wbem\\WMIC
规则: [注册表]*

2017-1-10 14:18:14    创建注册表项 风险级别:中    允许
进程: c:\windows\system32\wbem\wmic.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\WMIC
规则: [注册表]*

2017-1-10 14:18:14    创建注册表项 风险级别:中    允许
进程: c:\windows\system32\wbem\wmic.exe
目标: HKEY_CURRENT_USER\SOFTWARE\\Microsoft\\Wbem\\WMIC
规则: [注册表]*

2017-1-10 14:18:35    创建注册表项 风险级别:中    阻止并结束进程
进程: c:\windows\system32\wbem\wmic.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Wbem
规则: [注册表组]r111_低优先询问 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft

天耀群星

2017/2/10 20:30:52    操控其他进程的窗口    阻止
进程: c:\users\zheng\desktop\2016-10-31-pseudodarkleech-rigv-payload-cerber (2)\2016-10-31-pseudodarkleech-rigv-payload-cerber.exe
目标: c:\program files\malware defender\malwaredefender.exe
规则: [应用程序组]待测试组-未知程序 ??? 37

2017/2/10 20:44:29    修改文件    阻止并结束进程
进程: c:\users\zheng\desktop\2016-10-31-pseudodarkleech-rigv-payload-cerber (2)\2016-10-31-pseudodarkleech-rigv-payload-cerber.exe
目标: C:\Users\zheng\AppData\Roaming\Apple Computer\Safari\PubSub\Database\Database.sqlite3
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [文件]c:\*



火绒kill