WanaCrypt0r(MS17-010 + killswitch )

asdx145266

saleniy35 发表于 2017-5-16 20:17
解压出来不是一个bin文件么... 怎么运行的呀~

我没运行，我的直接解压然后微点就提示了，最后还有个弹窗说删除未知木马，我没截图

t3r3nce

GData

ojkjkjkj

我搭了测试环境 不能通过网络 感染？咋回事啊。系统都是没有打补丁的纯净系统

xiaogujian

ojkjkjkj 发表于 2017-5-17 16:52
我搭了测试环境 不能通过网络 感染？咋回事啊。系统都是没有打补丁的纯净系统

killswitch已经打开，除非屏蔽掉那个域名，否则不会发作

天耀群星

2009-5-4 06:05:10    修改注册表值    允许
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache
值: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [注册表]HKEY_CURRENT_USER*

2009-5-4 06:05:21    修改注册表值    允许
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cookies
值: C:\Documents and Settings\Administrator\Cookies
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [注册表]HKEY_CURRENT_USER*

2009-5-4 06:05:27    修改注册表值    允许
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\History
值: C:\Documents and Settings\Administrator\Local Settings\History
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [注册表]HKEY_CURRENT_USER*

2009-5-4 06:05:27    修改其他进程的内存    允许
进程: c:\windows\system32\csrss.exe
目标: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
规则: [应用程序]c:\windows\system32\csrss.exe

2009-5-4 06:05:39    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [文件组]保护-重要命名管道

2009-5-4 06:05:44    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [文件组]保护-重要命名管道

2009-5-4 06:05:44    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:05:44    修改文件    允许
进程: c:\documents and settings\administrator\application data\360se6\application\360se.exe
目标: C:\Documents and Settings\Administrator\Application Data\360se6\apps\data\common\Favorites\Log\360log_2009_05_04.log
规则: [应用程序组]【网购】【游戏】-独占模式 18 -> [文件]..\*

2009-5-4 06:05:44    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\lsarpc

2009-5-4 06:05:44    修改文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [应用程序组]全局-命令行滤网  《二道滤网》  ————！！20 -> [文件组]秒杀-重点保护 -> [文件]c:\windows\debug\*

2009-5-4 06:05:44    读文件    允许
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: C:\AUTOEXEC.BAT
规则: [应用程序组]高危-《首道滤网》-————优先阻止！！10 -> [文件组]保护-电脑引导程序 -> [文件]c:\; autoexec.bat

2009-5-4 06:05:44    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [注册表]HKEY_LOCAL_MACHINE*

2009-5-4 06:05:44    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:05:44    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\lsarpc

2009-5-4 06:05:52    修改注册表值    允许
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [注册表]HKEY_CURRENT_USER*

2009-5-4 06:05:52    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; ProxyBypass

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; IntranetName

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; UNCAsIntranet

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; AutoDetect

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; ProxyBypass

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; IntranetName

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; UNCAsIntranet

2009-5-4 06:05:52    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
值: 0x00000001(1)
规则: [应用程序组]垃圾屏蔽 35 -> [注册表组]IE、浏览器，网络劫持 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap; AutoDetect

2009-5-4 06:05:53    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:05:59    加载动态链接库    允许
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: c:\windows\system32\dnsapi.dll
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [动态链接库]c:\windows\system32\dnsapi.dll

2009-5-4 06:06:09    访问网络    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: TCP [本机 : 1743] ->  [104.17.41.137 : 80 (http)]
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [网络]任意协议 [本机 : 任意端口] -> [任意地址 : 80]

2009-5-4 06:06:09    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:06:09    访问网络    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: TCP [本机 : 1744] ->  [104.17.40.137 : 80 (http)]
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-4 06:06:09    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:06:09    访问网络    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: TCP [本机 : 1745] ->  [104.17.37.137 : 80 (http)]
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-4 06:06:09    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:06:09    访问网络    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: TCP [本机 : 1746] ->  [104.17.39.137 : 80 (http)]
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-4 06:06:09    读文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:06:09    访问网络    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: TCP [本机 : 1747] ->  [104.17.38.137 : 80 (http)]
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-5-4 06:06:09    安装驱动程序或服务    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: D:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -m security
规则: [应用程序组]COM过滤、dll劫持过滤 三道滤网  ——— ！！25

2009-5-4 06:06:09    创建文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: C:\WINDOWS\tasksche.exe
规则: [应用程序组]COM过滤、dll劫持过滤 三道滤网  ——— ！！25 -> [文件]c:\windows*

测试第二遍
2009-5-4 06:10:09    修改文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\lsarpc

2009-5-4 06:10:14    修改文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:10:14    修改文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\lsarpc

2009-5-4 06:10:14    修改文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: C:\WINDOWS\Debug\UserMode\userenv.log
规则: [应用程序组]全局-命令行滤网  《二道滤网》  ————！！20 -> [文件组]秒杀-重点保护 -> [文件]c:\windows\debug\*

2009-5-4 06:10:14    读文件    允许
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: C:\AUTOEXEC.BAT
规则: [应用程序组]高危-《首道滤网》-————优先阻止！！10 -> [文件组]保护-电脑引导程序 -> [文件]c:\; autoexec.bat

2009-5-4 06:10:14    修改注册表值    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [注册表]HKEY_LOCAL_MACHINE*

2009-5-4 06:10:14    修改文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\ROUTER
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\ROUTER

2009-5-4 06:10:14    修改文件    阻止
进程: d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]d:\360安全浏览器下载\24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe -> [文件]\Device\NamedPipe\lsarpc

天耀群星

saleniy35 发表于 2017-5-16 20:17
解压出来不是一个bin文件么... 怎么运行的呀~

改文件后缀名为exe即可

784696777

天耀群星 发表于 2017-5-18 15:10
改文件后缀名为exe即可

虚拟机改后缀断网双击毫无效果

saleniy35

784696777 发表于 2017-5-18 15:40
虚拟机改后缀断网双击毫无效果

先运行https://www.upload.ee/files/7001087/1.7z.html这个 再运行改后缀的

784696777

saleniy35 发表于 2017-5-18 15:43
先运行https://www.upload.ee/files/7001087/1.7z.html这个 再运行改后缀的

这样就能用smb漏洞传了？

saleniy35

784696777 发表于 2017-5-18 16:23
这样就能用smb漏洞传了？

对

http://v.youku.com/v_show/id_XMj ... 5!2~5~5!2~5~DL~DD~A

这个刚才自己搭桥虚拟机测试的