（16.11.17）Ransom.Cerber

petr0vic

https://www.virustotal.com/en/fi ... d23bc3ee4/analysis/





infected

petr0vic

Avast IS 12.4.2281 Beta
CyberCapture - Disable
Hardened mode - Moderate

haoge250

eset kill

linzh

卡巴云拉黑


卡巴斯基新老版本防勒索测试：
先放卡巴斯基2017的 ，主防秒杀

[mw_shl_code=css,true]17.11.2016 18.15.16        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\main.min.js        对象: c:\users\linzh\appdata\local\temp\main.min.js        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\global.js        对象: c:\users\linzh\appdata\local\temp\global.js        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\nsbc1e8.tmp\system.dll        对象: c:\users\linzh\appdata\local\temp\nsbc1e8.tmp\system.dll        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\main.min.js        对象: c:\users\linzh\appdata\local\temp\main.min.js        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\global.js        对象: c:\users\linzh\appdata\local\temp\global.js        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\main.min.js        对象: c:\users\linzh\appdata\local\temp\main.min.js        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.15.16        回滚恶意程序的操作时文件被删除        c:\users\linzh\appdata\local\temp\global.js        对象: c:\users\linzh\appdata\local\temp\global.js        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:15
17.11.2016 18.13.37        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:13
17.11.2016 18.13.37        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:13
17.11.2016 18.13.10        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: C:\Users\linzh\Desktop\1\1.exe        时间: 2016/11/17 18:13
17.11.2016 18.13.10        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: C:\Users\linzh\Desktop\1\1.exe        时间: 2016/11/17 18:13
17.11.2016 18.13.10        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:13
17.11.2016 18.13.10        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: KMPlayer Portable CyH0IufQ        应用程序路径: c:\users\linzh\desktop\1\1.exe        时间: 2016/11/17 18:13
17.11.2016 18.13.08        应用程序已添加至组低限制组        KMPlayer Portable CyH0IufQ        应用程序: KMPlayer Portable CyH0IufQ        原因: 根据计算评级        应用程序路径: C:\Users\linzh\Desktop\1\1.exe        时间: 2016/11/17 18:13[/mw_shl_code].

卡巴斯基PURE9.1
居然有云拉黑我有点意外啊 ，我还以为那个KSN只有上报未知文件的用处呢，而且还有应用程序控制

不过是黄色弹窗，点击允许

然后 ，就没有然后了

噫不错，一会测试卡巴斯基2017
诶诶不要attention了 ，你好烦啊，换个壁纸就行了干嘛还要播放音频
卡巴斯基KES10，继续秒杀之

[mw_shl_code=css,true]2016/11/17 18:19:37        检测到恶意对象        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        检测到威胁: PDM:Trojan.Win32.Generic        c:\users\linzh\desktop\1\1.exe               
2016/11/17 18:19:57        进程已终止        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        已终止: PDM:Trojan.Win32.Generic        c:\users\linzh\desktop\1\1.exe               
2016/11/17 18:20:33        对象已删除        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        已删除        c:\users\linzh\appdata\local\temp\global.js               
2016/11/17 18:20:33        对象已删除        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        已删除        c:\users\linzh\appdata\local\temp\main.min.js               
2016/11/17 18:20:40        对象已删除        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        已删除        c:\users\linzh\appdata\local\temp\nsnb616.tmp\system.dll               
2016/11/17 18:20:40        回滚已完成        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        回滚应用程序操作: sw2        c:\users\linzh\desktop\1\1.exe               
2016/11/17 18:20:45        对象已删除        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        已删除        c:\users\linzh\appdata\local\temp\global.js               
2016/11/17 18:20:45        对象已删除        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        已删除        c:\users\linzh\appdata\local\temp\main.min.js               
2016/11/17 18:20:45        回滚已完成        系统监控        KMPlayer Portable CyH0IufQ        WIN-HEIJN3BPE06\linzh        回滚应用程序操作: sw2        c:\users\linzh\desktop\1\1.exe[/mw_shl_code]

总结：卡巴斯基旧版本在主防等引擎上差距巨大而且卡巴也不是啃老本的，虽然“看上去”旧版的卡巴斯基新版有的旧版一个不少 @superax  

fireherman

linzh 发表于 2016-11-18 07:00
卡巴云拉黑

诶诶不要attention了 ，你好烦啊，换个壁纸就行了干嘛还要播放音频

Cerber嗲声嗲气地说：帅哥……人家……想要几个比特币。

问你怕不怕

linzh

fireherman 发表于 2016-11-18 07:19
Cerber嗲声嗲气地说：帅哥……人家……想要几个比特币。

问你怕不怕

不给嘛......你电脑里F盘的东西就别想播放了哦
害怕.jpg，不过我就是不给cerber来打我啊
@superax  所以，你还是用KES10吧，不要用那个老掉牙的版本了，你也看到了，除了毒库一样每天的精睿包一样就没有其他一样的地方了
话说编辑之后@会不蓝额，只能从这里@了
这里@怎么也不蓝？

胖福

文件名: 1.exe
威胁名称: SONAR.SelfHijack!gen1完整路径: 不可用

____________________________

____________________________


在电脑上 
2016-11-18 ( 07:32:21 )

上次使用时间 
2016-11-18 ( 07:32:21 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


1.exe 威胁名称: SONAR.SelfHijack!gen1
定位


极少用户信任的文件
Norton 社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
1.exe

____________________________

文件操作

文件: f:\norton样本\sonar漏检\ 1.exe 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ step-3 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ main.min.js 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ style70582833.css 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ styles1931970871.css 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ global.js 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ rfnq.inbzaezm 威胁已删除
事件: 正在运行进程: f:\norton样本\sonar漏检\ 1.exe 已终止
目录: c:\Users\administrator\AppData\Local\Temp\ nsj2D28.tmp 删除失败
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\1.exe, PID:4784) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Local\Temp\nsj2D28.tmp\ System.dll (执行者 f:\norton样本\sonar漏检\1.exe, PID:4784) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\ 1.exe, PID:3608 (执行者 f:\norton样本\sonar漏检\1.exe, PID:4784) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\ 1.exe, PID:4784 (执行者 f:\norton样本\sonar漏检\1.exe, PID:4784) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

fireherman

linzh 发表于 2016-11-18 07:30
不给嘛......你电脑里F盘的东西就别想播放了哦
害怕.jpg，不过我就是不给cerber来打我啊
...

话说编辑之后@会不蓝额，只能从这里@了
这里@怎么也不蓝？

解答：http://bbs.kafan.cn/forum.php?mo ... 67&pid=38725446

从56楼开始看。

liulangzhecgr

%temp% 不允许此马就个二批哦。

欧阳宣

webroot

W32.Malware.Gen