Ransom (18.7.16)

Picca

dreams521 发表于 2018-7-16 18:17
原来金钟罩的气门芯被拔了

蛤蛤

zdlzp

Karna 发表于 2018-7-16 18:04
测测双击

操作者：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe
命令行："C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe"
触犯规则：【试图修改核心目录】★★★★☆
操作类型：删除
操作文件：C:\WINDOWS\Tasks\Windows Update 6ae8eedc.job
用户操作：已阻止
操作者：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe
命令行："C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe"
触犯规则：【试图修改核心目录】★★★★☆
操作类型：写入
操作文件：C:\WINDOWS\Tasks\Windows Update 6ae8eedc.job
用户操作：已阻止
操作者：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe
命令行："C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe"
风险动作：修改系统任务目录
目标文件：C:\WINDOWS\Tasks\Windows Update 6ae8eedc.job
用户操作：已允许
操作者：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe
命令行："C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe"
触犯规则：【试图添加启动项】★★★☆☆
操作类型：写入
操作注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows Update
用户操作：已阻止
操作者：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe
命令行："C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe"
风险动作：修改启动项
目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows Update
操作类型：写入
数据内容：rundll32.exe "C:\Documents and Settings\All Users\Application Data\pbeccnkc\elclkdgc.jei",DllGetClassObject host
用户操作：已允许
操作者：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe
命令行："C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe"
风险动作：修改启动项
目标注册表：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Windows Update
操作类型：写入
数据内容：rundll32.exe "C:\Documents and Settings\All Users\Application Data\pbeccnkc\elclkdgc.jei",DllGetClassObject host
用户操作：已允许

Picca

zdlzp 发表于 2018-7-16 18:20
操作者：C:\Documents and Settings\Administrator\Local Settings\Temp\360zip$Temp\360$0\r\1.exe
命 ...

火绒的HIPS，以前试过感觉很流畅。规则如果定制的好，国内用感觉也不错

zdlzp

Karna 发表于 2018-7-16 18:25
火绒的HIPS，以前试过感觉很流畅。规则如果定制的好，国内用感觉也不错

做好规则还是很安全的

dreams521

Karna 发表于 2018-7-16 18:19
蛤蛤

16.07.2018 18.42.14;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\r\2.exe;Kaspersky Anti-Virus;C:\Users\Administrator\Desktop\r\2.exe;07/16/2018 18:42:14;UDS:Trojan-Banker.Win32.RTM.sb
16.07.2018 18.42.17;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\r\3.exe;Windows Explorer;C:\Users\Administrator\Desktop\r\3.exe;07/16/2018 18:42:17;UDS:Trojan-Banker.Win32.RTM.sb

230f4

ESET
3/3

Picca

dreams521 发表于 2018-7-16 18:43
16.07.2018 18.42.14;检测到的对象 ( 文件 ) 已删除;C:%users\Administrator\Desktop\r\2.exe;Kaspersky  ...

银行木马，难怪SW没反应

dreams521

Karna 发表于 2018-7-16 18:45
银行木马，难怪SW没反应

双击PDM都没反应，一会卡巴拉黑了。看来针对勒索病毒卡巴有专门的应急小组

YU2711

SEP  

3.exe

Heur.AdvML.A

1.exe

Trojan.Gen.2

1.exe Heur.AdvML.B

2.exe

Heur.AdvML.B

Picca

dreams521 发表于 2018-7-16 18:48
双击PDM都没反应，一会卡巴拉黑了。看来针对勒索病毒卡巴有专门的应急小组

这些有家族毒名在云端有存档的，靠免杀存活的都拉黑的快。你那里没发现加密的文件？如果没有的话，估计是环境不符合，没触发加密行为