Ransom（17.10.15）

petr0vic

infected

https://www.virustotal.com/en/fi ... 3f5d68212/analysis/

j2016

下载不了

ELOHIM

Firefox 无法在 https://att.kafan.cn/forum.php?mo ... DY2NTU5OXwyMTA1NjQ3 找到该文件。

    请检查文件名的大小写或者其他输入错误。
    请检查文件是否已被移动，重命名或删除。

petr0vic

j2016 发表于 2017-10-15 18:12
下载不了

https://transfer.sh/g7gPj/a.7z

j2016

petr0vic 发表于 2017-10-15 18:28

红伞杀

ELOHIM

第一次扫描结果变为绿色字体就知道有戏。
二扫提示如上，并未入库。

今天这个图可以用很多次了…………

Jerry.Lin

卡巴 kill

ATP_synthase

卡巴拉黑

I76700K

毒霸扫描miss

左手

[mw_shl_code=css,true]2017-10-15 20:22:13    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\LogSessionName
值: stdout
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Microsoft\Windows*\*

2017-10-15 20:22:13    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData
值: C:\Documents and Settings\Administrator\Application Data
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-10-15 20:22:13    修改文件 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: C:\Documents and Settings\Administrator\Application Data\2mgCZYEa.tmp
规则: [应用程序]?:\*\*\*\* -> [文件]c:\documents and settings\*\application data\*

2017-10-15 20:22:13    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 20:22:13    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\AppDataLow
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 20:22:13    创建注册表项 风险提示:未知    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_CURRENT_USER\Software\Classes\Software\uaa3Ccob
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Classes\*

2017-10-15 20:22:13    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup
值: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-10-15 20:22:13    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
值: C:\Documents and Settings\Administrator\My Documents
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-10-15 20:22:13    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common Documents
值: C:\Documents and Settings\All Users\Documents
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-10-15 20:22:13    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Desktop
值: C:\Documents and Settings\Administrator\桌面
规则: [应用程序]?:\*\*\*\* -> [注册表组]阻止_优先黑名单

2017-10-15 20:22:13    创建文件 风险提示:低风险    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\a.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\yCL2V4j7.lnk
规则: [应用程序]?* -> [文件]?:\documents and settings\*\程序\启动\*

2017-10-15 20:22:14    修改注册表值 风险提示:敏感    阻止
进程: c:\documents and settings\administrator\桌面\a.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\LogSessionName
值: stdout
规则: [注册表组]《受保护的注册表》 -> [注册表]*\Software\Microsoft\Windows*\*
[/mw_shl_code]