中了勒索，可疑文件

天道酬善

诺顿报毒。但是我放行了。帮忙测试下是否是因为这个软件的原因。勒索病毒是立即发作的还是可以定时呢。因为我电脑从来不主动关机，上周五我下班时都是好好的，周六有同事还来公司加班了呢。我昨天晚上想远程向日葵访问公司电脑，提示电脑下线了，我家里公司都各自安装了向日葵。另外我问物业了，也没有停电。可是我今天周日来加班，发现电脑是关机的，开机就发现中招了。求中招途径，最近就安装了3款软件。正常上网。其中这个软件诺顿报毒了。其它2个没异常，但是上周的时候诺顿好像右下角图标消失了，我还进入开始菜单找到他重新进入修复过诺顿，不然上周四安装报毒的这个软件，诺顿也不会提示我有病毒嗯。报毒信息我都没仔细看，想着是代{过}{滤}理商发来的应该不会真是病毒，就放行了。
https://pan.baidu.com/s/1dgnOWQ 网盘是是报毒的安装文件。


这里面2个文件一个是病毒生成的txt文件。另一个是被加密的文件。大家帮忙看看能否解密。

https://pan.baidu.com/s/1kWoJgoB 第二个可疑文件，当时nis没有提示。后来在家里安装的kis提示病毒。

心醉咖啡

毒霸扫描miss

王国之心00

会下载带锁机病毒的模块，搞不懂勒索信为什么全英文，软件本体是中文的，勒索信用中文不更好。

Jerry.Lin

1. ECLS 命令行扫描程序，版本 11.0.159.0，(C) 1992-2017 ESET, spol. s r.o.
   
2. 模块 loader，版本 1013 (20171116)，内部版本号 1026
   
3. 模块 perseus，版本 1534.3 (20180202)，内部版本号 1941
   
4. 模块 scanner，版本 16846P (20180203)，内部版本号 36285
   
5. 模块 archiver，版本 1272 (20180122)，内部版本号 1267
   
6. 模块 advheur，版本 1184.1 (20171212)，内部版本号 1158
   
7. 模块 cleaner，版本 1153 (20180129)，内部版本号 1209
   
8. 
   
9. 命令行: C:\Users\USER\AppData\Local\Temp\Rar$VR21372.25016
   
10. 
    
11. 扫描已启动   Sun Feb  4 15:08:00 2018
    
12. 
    
13. 扫描已完成     Sun Feb  4 15:08:00 2018
    
14. 扫描时间:     0 秒 (0:00:00)
    
15. 总计:         个文件 - 2，对象 2
    
16. 被感染:   个文件 - 0，对象 0
    
17. 已清除:   个文件 - 0，对象 0

复制代码

1.         瑞星反恶软引擎命令行扫描器（社区交流版）
   
2. 
   
3. 
   
4. 编译于：Sep 22 2017   15:07:50
   
5. 
   
6. 提示：
   
7.   - 本工具供社区交流使用，请勿用于其他用途
   
8.   - 本工具没有恶意软件删除、清除、隔离功能
   
9.   - 本工具包含开发中的新特性，结果仅供参考
   
10. 
    
11. * 命令行中的选项开关：-log=report.log
    
12. * 获取恶软签名库最新版本 ...
    
13. * 下载恶软签名库配置文件 ...
    
14. * 创建恶软签名库升级组件 ...
    
15. * 计算并下载增量文件 ...
    
16. * 升级恶软签名库 ...
    
17. * 恶软签名库升级成功
    
18. * 扫描目标 : (1) C:\Users\USER\Downloads\Compressed\Virus Test\科脉·赢钱云POS零售安装程序1.0.4\科脉·赢钱云POS零售安装程序1.0.4.exe
    
19. 
    
20. * 加载恶软签名库： C:\Users\USER\Downloads\Compressed\RDM20171130x64/malware.rmd
    
21. * 恶软签名库加载成功，发布序号为 3646
    
22. * 读取恶软签名库配置 ...
    
23. * 云辅助扫描组件初始化失败.
    
24. * 初始化引擎环境 ...
    
25. * 初始化引擎环境 ...
    
26. * 初始化引擎环境 ...
    
27. * 初始化引擎环境 ...
    
28. * 初始化引擎环境 ...
    
29. * 初始化引擎环境 ...
    
30. * 初始化引擎环境 ...
    
31. * 初始化引擎环境 ...
    
32. 扫描开始: Sun Feb 04 15:10:27 2018
    
33. 
    
34. C:\Users\USER\Downloads\Compressed\Virus Test\科脉·赢钱云POS零售安装程序1.0.4\科脉·赢钱云POS零售安装程序1.0.4.exe ...         ok
    
35. 
    
36. 扫描结束: Sun Feb 04 15:10:29 2018
    
37. 
    
38. 总扫描耗时: 0:1:749(m:s:ms)
    
39. 总扫描对象: 1
    
40. 总扫描文件: 1
    
41. 总恶意文件: 0
    
42. 有效检出率: 0.00%
    
43. 复制代码

复制代码

KevinYu0504

https://virustotalcloud.appspot. ... dd09daa07/detection

只有 4 家右键扫瞄能查杀。

已经将楼主提供的档案传送至 Emsisoft 分析。

KevinYu0504

感谢您联系卡巴斯基实验室

该文件已在自动模式下被扫描。

对指定的文件没有信息可以在反病毒数据库中找到：
科脉·赢钱云POS零售安装程序1.0.4.exe

我们将深入分析您发送的文件。如果分析的结果是，从该自动扫描结果不同，你将通过电子邮件通知。

这是自动生成的消息。请不要回复它。

反病毒实验室，卡巴斯基实验室总部

“39A / 3 Leningradskoe Shosse，莫斯科，125212，俄罗斯
Tel./Fax： + 7（495）797 8700
http://www.kaspersky.com https://www.securelist.com “

windows7爱好者

王国之心00 发表于 2018-2-4 14:42

能不能上传一下下载回来的东西

lycys

NS miss，已上报
Your submission (Tracking #42226162) has been received and is currently being processed. This tracking number can be used to discuss your submission with Symantec Technical Support.Once a complete determination has been made regarding your submission(s) you will be notified via a second, closing e-mail.                           

lycys

国内也就百度报毒Trojan.Dropper.Heur.gen

dg1vg4

感觉和勒索没有关系。
安装完成后，在64位Windows7的虚拟机环境中貌似无法正常启动，需要手动设置管理员权限。
我去拿到瑞星那里分析一下。