Ransom.Cry（17.10.14）

petr0vic

infected

https://www.virustotal.com/en/fi ... 210aab1dc/analysis/

popu111

BD系：我们已经保持了最大程度的克制

一覺到天明

popu111 发表于 2017-10-15 00:23
BD系：我们已经保持了最大程度的克制

??????????

一覺到天明

https://www.virustotal.com/#/fil ... 210aab1dc/detection
32/66

和泉纱雾

360杀毒扫描miss

Jirehlov1234

chrome拦截下载。。。用edge下载后解压杀，bd2018报毒，报毒名Trojan.GenericKD.12485925，与vt结果相同。

话说加密的压缩包chrome都能拦截啊？

ccboxes

Jirehlov1234 发表于 2017-10-15 06:32
chrome拦截下载。。。用edge下载后解压杀，bd2018报毒，报毒名Trojan.GenericKD.12485925，与vt结果相同。
...

Chrome和Firefox一样，无脑拉黑域名，卡饭的附件服务器早就被拉黑了。没有密码，加密压缩包就算是神仙也查不出东西来。

I76700K

毒霸扫描miss

心醉咖啡

管家

[mw_shl_code=css,true]【扫描信息】

开始时间:2017-10-15 09:05:32
扫描用时:00:00:01
扫描类型:指定位置杀毒
扫描引擎:管家云查杀引擎 管家反病毒引擎 管家系统修复引擎
扫描状态:扫描完成


【扫描结果】

扫描文件数:1
发现风险数:1
已处理风险数:1


---------------------
2017-10-15 09:05:37 MD5:1d05d35194ee8f9c19dec2c44c422174 F:\浏览器下载\1\1.exe [Win32.Trojan.Filecoder.Dxwv]  [删除成功]
---------------------
[/mw_shl_code]

左手

[mw_shl_code=css,true]2017-10-15 09:10:00    修改文件 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\WINDOWS\system32\CatRoot2\dberr.txt
规则: [应用程序]?:\*\*\*\* -> [文件组]《保护》f308_受保护的多层目录文件

2017-10-15 09:10:01    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\LogSessionName
值: stdout
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Microsoft\Windows*\*

2017-10-15 09:10:01    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 09:10:01    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 09:10:01    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 09:10:01    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-10-15 09:10:09    创建文件 风险提示:低风险    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\Documents and Settings\Administrator\Application Data\2mgCZYEa.tmp
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-10-15 09:10:09    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 09:10:09    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 09:10:09    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 09:10:12    加载动态链接库 风险提示:中风险    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: c:\windows\system32\dnsapi.dll
规则: [应用程序]* -> [动态链接库]c:\windows\system32\dnsapi.dll

2017-10-15 09:10:12    修改文件 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: C:\WINDOWS\system32\CatRoot2\dberr.txt
规则: [应用程序组]→a999_√★《临时规则_安装模式》★√ -> [文件组]《坚固》f299_询问修改的文件>a100 -> [文件]*; *.txt

2017-10-15 09:10:12    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\1.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\LogSessionName
值: stdout
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Microsoft\Windows*\*

2017-10-15 09:10:16    访问网络 风险提示:未知    允许
进程: c:\documents and settings\administrator\桌面\1.exe
目标: TCP [本机 : 2297] ->  [49.51.33.169 : 80 (http)]
规则: [应用程序]*.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017-10-15 09:11:06    创建新进程 风险提示:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\1.exe
目标: c:\windows\explorer.exe
命令行: "C:\Windows\explorer.exe"
规则: [应用程序]* -> [子应用程序]《禁止注入系统进程》

[/mw_shl_code]