（16.11.17）Ransom #2

ELOHIM

Dolby123 发表于 2016-11-17 16:20
wd , zemana miss

MSE 4.4
下载，扫描都不报。
几秒以后自己弹窗提示发现病毒。

1.exe > Ransom: Win32/Troldesh.A
2.exe > 双击

类别: 特洛伊木马

描述: 这个程序很危险，而且执行来自攻击者的命令。

推荐的操作: 立即删除这个软件。

项目:
file:C:\Documents and Settings\All Users\Application Data\Windows\csrss.exe
file:C:\Documents and Settings\kafan\桌面\R\2.exe
regkey:HKCU@-------\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\Client Server Runtime Subsystem
runkey:HKCU@-------\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\Client Server Runtime Subsystem

——————————————————————————
不重启，不加倍。
哦，不，不加密。。
2.exe  被腰斩。

开机启动项被 MSE锁定，造成拒绝访问。
刷新以后，csrss.exe 已经消失。

Dolby123

ELOHIM 发表于 2016-11-17 20:45
MSE 4.4
下载，扫描都不报。
几秒以后自己弹窗提示发现病毒。

很给力 !
我猜是zemana 和wd 监控有隐形冲突，等不到弹窗出来 , 卸载zemana之后才发现到Troldesh.A 勒索

ELOHIM

Dolby123 发表于 2016-11-17 21:18
很给力 !
我猜是zemana 和wd 监控有隐形冲突，等不到弹窗出来 , 卸载zemana之后才发现到Troldesh ...

这个还可以，另一个栽了。。

不过，那个病毒有一个缺陷，没有签名。
杀掉进程以后，系统会自动替换掉错误的重启。
再次检查签名，又出来了。。

Dolby123

ELOHIM 发表于 2016-11-17 21:38
这个还可以，另一个栽了。。

不过，那个病毒有一个缺陷，没有签名。

桌面文件没有任何加密?

ELOHIM

Dolby123 发表于 2016-11-17 21:42
桌面文件没有任何加密?

一点也没有啊。
所有文件都没变啊。
我的撸图都在……文档都在，AV都还在……

Dolby123

DrWeb 已入库

540923555

ELOHIM 发表于 2016-11-17 20:45
MSE 4.4
下载，扫描都不报。
几秒以后自己弹窗提示发现病毒。

下午5点时候确实没入库，，当时虚拟机双击都没反应，半小时以后虚拟机里才报毒，随后实机右键扫描才有

540923555

Dolby123 发表于 2016-11-17 21:18
很给力 !
我猜是zemana 和wd 监控有隐形冲突，等不到弹窗出来 , 卸载zemana之后才发现到Troldesh ...

你测试时候确实没入库，我虚拟机双击都没反应（过监控，但是文件没被加密），虚拟机没关，一直到下午五点多虚拟机里的监控才报毒，随后实机右键扫描才有

linzh

@schumi小粉  
卡巴断网旧毒库双击，全部主防杀

卡巴够给力
PS：这个样本的作者和ESET什么关系= =
[mw_shl_code=css,true]17.11.2016 19.48.29        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: c:\users\linzh\desktop\2\2.exe        时间: 2016/11/17 19:48
17.11.2016 19.48.29        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: c:\users\linzh\desktop\2\2.exe        时间: 2016/11/17 19:48
17.11.2016 19.48.29        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\nsd85a4.tmp\system.dll        对象: c:\users\linzh\appdata\local\temp\nsd85a4.tmp\system.dll        应用程序名称: https://www.eset.com        应用程序路径: c:\users\linzh\desktop\2\2.exe        时间: 2016/11/17 19:48
17.11.2016 19.47.18        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: c:\users\linzh\desktop\2\2.exe        时间: 2016/11/17 19:47
17.11.2016 19.47.18        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: c:\users\linzh\desktop\2\2.exe        时间: 2016/11/17 19:47
17.11.2016 19.46.57        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: C:\Users\linzh\Desktop\2\2.exe        时间: 2016/11/17 19:46
17.11.2016 19.46.57        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: C:\Users\linzh\Desktop\2\2.exe        时间: 2016/11/17 19:46
17.11.2016 19.46.57        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: c:\users\linzh\desktop\2\2.exe        时间: 2016/11/17 19:46
17.11.2016 19.46.57        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: https://www.eset.com        应用程序路径: c:\users\linzh\desktop\2\2.exe        时间: 2016/11/17 19:46
17.11.2016 19.46.56        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: c:\users\linzh\desktop\2\1.exe        时间: 2016/11/17 19:46
17.11.2016 19.46.56        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: c:\users\linzh\desktop\2\1.exe        时间: 2016/11/17 19:46
17.11.2016 19.46.56        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\nsx6d34.tmp\system.dll        对象: c:\users\linzh\appdata\local\temp\nsx6d34.tmp\system.dll        应用程序名称: I love this ESET        应用程序路径: c:\users\linzh\desktop\2\1.exe        时间: 2016/11/17 19:46
17.11.2016 19.46.34        应用程序已添加至组低限制组        https://www.eset.com        应用程序: https://www.eset.com        原因: 根据计算评级        应用程序路径: C:\Users\linzh\Desktop\2\2.exe        时间: 2016/11/17 19:46
17.11.2016 19.45.59        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: c:\users\linzh\desktop\2\1.exe        时间: 2016/11/17 19:45
17.11.2016 19.45.59        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: c:\users\linzh\desktop\2\1.exe        时间: 2016/11/17 19:45
17.11.2016 19.45.30        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: C:\Users\linzh\Desktop\2\1.exe        时间: 2016/11/17 19:45
17.11.2016 19.45.30        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: C:\Users\linzh\Desktop\2\1.exe        时间: 2016/11/17 19:45
17.11.2016 19.45.29        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: c:\users\linzh\desktop\2\1.exe        时间: 2016/11/17 19:45
17.11.2016 19.45.29        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: I love this ESET        应用程序路径: c:\users\linzh\desktop\2\1.exe        时间: 2016/11/17 19:45
17.11.2016 19.45.22        应用程序已添加至组低限制组        I love this ESET        应用程序: I love this ESET        原因: 根据计算评级        应用程序路径: C:\Users\linzh\Desktop\2\1.exe        时间: 2016/11/17 19:45
17.11.2016 19.45.01        应用程序已添加至组受信任组        WinRAR 压缩文件管理器        应用程序: WinRAR 压缩文件管理器        原因: 数字签名分析        应用程序路径: C:\Program Files\WinRAR\WinRAR.exe        时间: 2016/11/17 19:45
17.11.2016 19.44.53        应用程序已添加至组受信任组        Windows Shell Common Dll        应用程序: Windows Shell Common Dll        原因: 数字签名分析        应用程序路径: c:\windows\system32\shell32.dll        时间: 2016/11/17 19:44[/mw_shl_code]

schumi小粉

linzh 发表于 2016-11-18 08:49
@schumi小粉  
卡巴断网旧毒库双击，全部主防杀

主防挺给力的，今天卡巴都入库了