Ransom.CryptoShield (17.02.01)

学雷锋做人

执行到第12步返回错误，因为这里按照单个文件虚拟了文件环境，造成单个文件存在的假象，但是这给程序返回的是单个文件信息，导致奔溃退出，所以说不适应大范围查找，这里我会再改改，这样本好，及时发现问题
[mw_shl_code=css,true]22:31:33(1)：(自动允许)读取文件：C:\Windows\Fonts\staticcache.dat     访问权限：-2147483648

22:31:35(2)：(自动允许)读取文件：\\?\C:\Users\wang\AppData\Roaming\1FAAXB2.tmp     访问权限：-2147483648

22:31:35(3)：(安全环境)创建文件目录：\\?\C:\ProgramData\MicroSoftWare

22:31:35(4)：(安全环境)创建文件目录：\\?\C:\ProgramData\MicroSoftWare\SmartScreen

22:31:35(5)：(安全环境)复制文件：C:\Users\wang\Desktop\File_safe\CryptoShield.exe     复制至：C:\ProgramData\MicroSoftWare\SmartScreen\SmartScreen.exe

22:31:35(6)：(阻止)删除文件：C:\ProgramData\MicroSoftWare\SmartScreen\SmartScreen.exe:Zone.Identifier

22:31:35(7)：(阻止)写注册表值：\Windows SmartScreen

22:31:35(8)：(阻止)写注册表值：\Windows SmartScreen Updater

22:31:35(9)：(自动允许)读取文件：\\?\C:\Users\wang\AppData\Roaming\OfficeTab\Favorites\ExcelFavorite.acl     访问权限：0

22:31:35(10)：(阻止)创建TCP连接：45.76.81.110(IP)     端口：80

22:31:35(11)：(自动允许)读取文件：\\?\C:\Users\wang\AppData\Roaming\OfficeTab\Favorites\ExcelFavorite.acl     访问权限：-2147483648

22:31:35(12)：(虚拟存在)查找文件：C:\*.*
[/mw_shl_code]
经过改进，成功跑出上千步行为

aphorism

火绒呢

cdyism

aphorism 发表于 2017-2-2 14:46
火绒呢

執行環境:virtualbox   win7

測試結果:

右鍵掃描Miss

虛擬機雙擊 多步miss 查看虛擬機內檔案已被加密 但單步攔截了刪除還原點  。

運行截圖:





測試結束。

aphorism

cdyism 发表于 2017-2-2 15:13
執行環境:virtualbox   win7

測試結果:

也就是拦截失败了

DF快递

avast kill

a445441

微点拦截

轩夏

MSE 断网
CryptoShield.exe
Infected: Ransom:Win32/Shieldcrypt.A