WanaCrypt0r.Ransom (17.05.12)

显示全部楼层 · 发表于 2017-5-13 13:42:29

fjzjk 发表于 2017-5-13 13:34
加密需要联网，因为他要把密钥的一部分上传服务器

是的
需要联网以及启用SMBv1协议

显示全部楼层 · 发表于 2017-5-13 14:36:53

显示全部楼层 · 发表于 2017-5-13 14:40:53

BTS ，只测atc，防住了，有个disinfection progress是回滚吗？

显示全部楼层 · 发表于 2017-5-13 14:51:43

要安装防火墙了

显示全部楼层 · 发表于 2017-5-13 14:52:38

Bitdefender换了3个名字

Gen:Variant.Graftor.369176
Trojan.Ransom.WannaCryptor.A
Trojan.GenericKD.5057860

显示全部楼层 · 发表于 2017-5-13 15:01:07

aerbeisi 发表于 2017-5-13 14:52
Bitdefender换了3个名字

Gen:Variant.Graftor.369176

显示全部楼层 · 发表于 2017-5-13 15:03:35

Dolby123 发表于 2017-5-13 15:01
还有一个
https://virustotal.com/en/file/d849067bf9365d99088cbb935a98477cd38519e3ab8ac1bfe662588f8 ...

不是同一个，sha256不一样。

显示全部楼层 · 发表于 2017-5-13 15:12:56

aerbeisi 发表于 2017-5-13 15:03
不是同一个，sha256不一样。

sha256不一样不代表不同文件（当然这只是针对勒索)。其实是同一个文件。很多挂马网站喜欢玩这一招，为了就是避开安软检测

显示全部楼层 · 发表于 2017-5-13 15:15:22

本帖最后由 aerbeisi 于 2017-5-13 15:23 编辑

Dolby123 发表于 2017-5-13 15:12
sha256不一样不代表不同文件（当然这只是针对勒索)。其实是同一个文件。很多挂马网站喜欢玩这一招，为了 ...

md5可以伪造成一样的，sha256还没有，所以源文件还是改动过的。我指的是同一个sha256值文件bd短时间改了3次名字也是牛逼。而且第三次改名字后反而不知道文件的明确意义了不知道意欲何为！这种genericKD的报法跟启发报的名字一样分不清楚具体病毒的含义。

显示全部楼层 · 发表于 2017-5-13 15:58:07

驭龙发表于 2017-5-13 12:31
根据ESET的说法，在入库之前，云提前三个小时拉黑了，在此之前是漏洞护盾可防御入侵

有官方说明吗？
给个地址

[病毒样本] WanaCrypt0r.Ransom (17.05.12)