Cerber+Locky.Ransom (17.02.15)

petr0vic

infected

https://www.virustotal.com/en/fi ... 7990f578b/analysis/
https://www.virustotal.com/en/fi ... 9d2a6bf4e/analysis/

Eset小粉絲

The pattern of 'TR/Crypt.Xpack.zsvij [trojan]'
detected in file 'C:\Users\Ivan\Downloads\locky.exe'.

[mw_shl_code=css,true]
Type:        File
Source:        C:\Users\Ivan\Downloads\cerber.exe
Status:        Infected
Quarantine object:        30386847.qua
Restored:        NO
Uploaded to Avira:        NO
Operating system:        Windows XP/VISTA Workstation/Windows 7
Search engine:        8.03.42.172
Virus definition file:        8.12.154.200
Detection:        TR/Crypt.ZPACK.060a74 (Cloud)
Date/Time:        15/2/2017, 7:32[/mw_shl_code]

青衣染雪

卡巴扫描1x，cerber双击miss

qwe12301

XZ8SM7Sx0bVkoUV

火绒kill1X

linzh

ESET双杀
[mw_shl_code=css,true]时间;扫描程序;对象类型;对象;威胁;操作;用户;信息;哈希;此处首次所见
2017/2/14 21:47:30;文件系统实时防护;文件;C:\Users\linzh\Desktop\2\cerber.exe;Win32/Kryptik.FOIM 特洛伊木马 的变种;通过删除清除;LINZH-NOTEBOOK\linzh;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (ADD0B2FF92CE12DDBD58324FEBD3B09F43FA1A01).;7B8F357CD4CD65613633A14085852F2400A4F588;2017/2/14 21:47:29
2017/2/14 21:47:30;文件系统实时防护;文件;C:\Users\linzh\Desktop\2\locky.exe;Win32/Kryptik.FOHU 特洛伊木马 的变种;通过删除清除;LINZH-NOTEBOOK\linzh;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (ADD0B2FF92CE12DDBD58324FEBD3B09F43FA1A01).;88F63EB3495BB2EB34FE17A851538BFB2A882782;2017/2/14 21:47:29
[/mw_shl_code]

linzh

青衣染雪 发表于 2017-2-15 09:47
卡巴扫描1x，cerber双击miss

双击miss？R u sure?
我这个旧毒库的都轻松杀了。。。
卡巴斯基断网双击：
cerber：
locky：
全部都轻轻松松的回滚了，还有这个locky好zz啊233居然先加密sample picture...
全部日志：
[mw_shl_code=css,true]14.02.2017 21.56.03        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时文件被恢复        c:\users\public\pictures\sample pictures\lighthouse.jpg        对象: c:\users\public\pictures\sample pictures\lighthouse.jpg        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时文件被恢复        c:\users\public\pictures\sample pictures\koala.jpg        对象: c:\users\public\pictures\sample pictures\koala.jpg        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时文件被恢复        c:\users\public\pictures\sample pictures\hydrangeas.jpg        对象: c:\users\public\pictures\sample pictures\hydrangeas.jpg        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时文件被恢复        c:\users\public\pictures\sample pictures\jellyfish.jpg        对象: c:\users\public\pictures\sample pictures\jellyfish.jpg        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时注册表键值被恢复        HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\connections\savedlegacysettings        对象: HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\connections\savedlegacysettings        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时注册表键值被恢复        HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\autoconfigurl        对象: HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\autoconfigurl        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时注册表键值被恢复        HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\proxyoverride        对象: HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\proxyoverride        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时注册表键值被恢复        HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\proxyserver        对象: HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\proxyserver        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.56.03        回滚恶意程序的操作时注册表键值被恢复        HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\proxyenable        对象: HKEY_USERS\s-1-5-21-2073634527-994645719-2999715536-1000\software\microsoft\windows\currentversion\internet settings\proxyenable        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:56
14.02.2017 21.55.51        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:55
14.02.2017 21.55.41        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: Recomposit        应用程序路径: C:\Users\linzh\Desktop\2\locky.exe        时间: 2017/2/14 21:55
14.02.2017 21.55.40        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: Recomposit        应用程序路径: c:\users\linzh\desktop\2\locky.exe        时间: 2017/2/14 21:55
14.02.2017 21.55.31        应用程序已添加至组低限制组        Recomposit        应用程序: Recomposit        原因: 根据计算评级        应用程序路径: C:\Users\linzh\Desktop\2\locky.exe        时间: 2017/2/14 21:55
14.02.2017 21.54.41        恶意程序的操作已回滚        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\2\cerber.exe        应用程序路径: c:\users\linzh\desktop\2\cerber.exe        时间: 2017/2/14 21:54
14.02.2017 21.54.41        回滚恶意程序的操作时文件被恢复        c:\users\linzh\documents\chrysanthemum.jpg        对象: c:\users\linzh\documents\chrysanthemum.jpg        应用程序名称: C:\Users\linzh\Desktop\2\cerber.exe        应用程序路径: c:\users\linzh\desktop\2\cerber.exe        时间: 2017/2/14 21:54
14.02.2017 21.54.27        恶意程序已删除        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\2\cerber.exe        应用程序路径: c:\users\linzh\desktop\2\cerber.exe        时间: 2017/2/14 21:54
14.02.2017 21.54.15        恶意程序已终止        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\2\cerber.exe        应用程序路径: C:\Users\linzh\Desktop\2\cerber.exe        时间: 2017/2/14 21:54
14.02.2017 21.54.15        检测到恶意程序        PDM:Trojan.Win32.Generic        应用程序名称: C:\Users\linzh\Desktop\2\cerber.exe        应用程序路径: c:\users\linzh\desktop\2\cerber.exe        时间: 2017/2/14 21:54
14.02.2017 21.54.04        应用程序已添加至组低限制组        C:\Users\linzh\Desktop\2\cerber.exe        应用程序: C:\Users\linzh\Desktop\2\cerber.exe        原因: 根据计算评级        应用程序路径: C:\Users\linzh\Desktop\2\cerber.exe        时间: 2017/2/14 21:54
14.02.2017 21.51.56        应用程序已添加至组受信任组        WinRAR 压缩文件管理器        应用程序: WinRAR 压缩文件管理器        原因: 数字签名分析        应用程序路径: C:\Program Files\WinRAR\WinRAR.exe        时间: 2017/2/14 21:51
14.02.2017 21.51.50        应用程序已添加至组受信任组        Windows Shell Common Dll        应用程序: Windows Shell Common Dll        原因: 数字签名分析        应用程序路径: c:\windows\system32\shell32.dll        时间: 2017/2/14 21:51[/mw_shl_code]

青衣染雪

linzh 发表于 2017-2-15 10:58
双击miss？R u sure?
我这个旧毒库的都轻松杀了。。。
卡巴斯基断网双击：

我可能用了假的卡巴，我怕沙盘环境不同，又实机运行一次，被加密了一堆文件，卡巴全程哑火我重装系统去

蜘蛛：双杀

linzh

青衣染雪 发表于 2017-2-15 11:40
我可能用了假的卡巴，我怕沙盘环境不同，又实机运行一次，被加密了一堆文件，卡巴全程哑火我重装 ...

这。。。只是加密了这个文件夹里的文件吗？还是有很多文件都被加密了
卡巴的主防没有任何提示还是拦截了由于文件太大无法回滚？。。。又玄学了
还有千万不要在实机测试啊，早知道不发了还害你中勒索了