Ransom (*.crypt) (18.7.25)

petr0vic

https://my.mixtape.moe/vwlsxh.7z

infected

www-tekeze

火绒miss all，智量清空。。

Tom179090

扫描全全过，双击SONAR全杀，是否有加密当前未知。sonar处理的不完美，双击后调用CMD,,cpu和内存使用率彪增，最后是手动结束的。
文件名: 1.exe
威胁名称: SONAR.Cryptlck!g153完整路径: 不可用

____________________________

____________________________


在电脑上 
2018/7/26 ( 1:38:01 )

上次使用时间 
2018/7/26 ( 1:38:01 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


1.exe 威胁名称: SONAR.Cryptlck!g153
定位


极少用户信任的文件
Norton 社区中有不到 5 名用户 使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
360zip.exe

创建的文件:
1.exe

____________________________

文件操作

文件: c:\users\tom-w\downloads\vwlsxh\vir\ 1.exe 威胁已删除
文件: c:\users\tom-w\appdata\local\temp\7012.tmp\ run.cmd 威胁已删除
文件: c:\users\tom-w\appdata\roaming\microsoft\windows\start menu\programs\startup\ autorun.bat 威胁已删除
文件: c:\users\tom-w\appdata\roaming\microsoft\windows\start menu\programs\startup\ autorun.exe 威胁已删除
目录: c:\Users\tom-w\AppData\Local\Temp\ 7012.tmp 需要重新启动
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\1.exe, PID:9916) 未采取操作
事件: 进程启动: c:\users\tom-w\downloads\vwlsxh\vir\ 1.exe, PID:9916 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\1.exe, PID:9916) 未采取操作
事件: 进程启动 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\1.exe, PID:4796) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ cmd.exe, PID:16372 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\1.exe, PID:4796) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ net.exe, PID:2188 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\1.exe, PID:4796) 未采取操作
事件: 进程启动: c:\users\tom-w\downloads\vwlsxh\vir\ 1.exe, PID:4796 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\1.exe, PID:4796) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

文件名: 2.exe
威胁名称: SONAR.Cryptlck!g153完整路径: 不可用

____________________________

____________________________


在电脑上 
2018/7/26 ( 1:42:33 )

上次使用时间 
2018/7/26 ( 1:42:33 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


2.exe 威胁名称: SONAR.Cryptlck!g153
定位


极少用户信任的文件
Norton 社区中有不到 5 名用户 使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
360zip.exe

创建的文件:
2.exe

____________________________

文件操作

文件: c:\users\tom-w\downloads\vwlsxh\vir\ 2.exe 威胁已删除
文件: c:\users\tom-w\appdata\local\temp\8329.tmp\ run.cmd 威胁已删除
文件: c:\users\tom-w\appdata\roaming\microsoft\windows\start menu\programs\startup\ autorun.bat 威胁已删除
文件: c:\users\tom-w\appdata\roaming\microsoft\windows\start menu\programs\startup\ autorun.exe 威胁已删除
目录: c:\Users\tom-w\AppData\Local\Temp\ 8329.tmp 需要重新启动
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\2.exe, PID:16104) 未采取操作
事件: 进程启动: c:\users\tom-w\downloads\vwlsxh\vir\ 2.exe, PID:16104 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\2.exe, PID:16104) 未采取操作
事件: 进程启动 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\2.exe, PID:15428) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ cmd.exe, PID:15664 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\2.exe, PID:15428) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ net.exe, PID:1720 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\2.exe, PID:15428) 未采取操作
事件: 进程启动: c:\users\tom-w\downloads\vwlsxh\vir\ 2.exe, PID:15428 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\2.exe, PID:15428) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用


文件名: 3.exe
威胁名称: SONAR.Cryptlck!g153完整路径: 不可用

____________________________

____________________________


在电脑上 
2018/7/26 ( 1:44:14 )

上次使用时间 
2018/7/26 ( 1:44:14 )

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


3.exe 威胁名称: SONAR.Cryptlck!g153
定位


极少用户信任的文件
Norton 社区中有不到 5 名用户 使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
360zip.exe

创建的文件:
3.exe

____________________________

文件操作

文件: c:\users\tom-w\downloads\vwlsxh\vir\ 3.exe 威胁已删除
文件: c:\users\tom-w\appdata\local\temp\45b.tmp\ run.cmd 威胁已删除
文件: c:\users\tom-w\appdata\roaming\microsoft\windows\start menu\programs\startup\ autorun.bat 威胁已删除
文件: c:\users\tom-w\appdata\roaming\microsoft\windows\start menu\programs\startup\ autorun.exe 威胁已删除
目录: c:\users\tom-w\appdata\local\temp\ 45b.tmp 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\3.exe, PID:16184) 未采取操作
事件: 进程启动: c:\users\tom-w\downloads\vwlsxh\vir\ 3.exe, PID:16184 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\3.exe, PID:16184) 未采取操作
事件: 进程启动 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\3.exe, PID:16172) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ cmd.exe, PID:14432 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\3.exe, PID:16172) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ net.exe, PID:14132 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\3.exe, PID:16172) 未采取操作
事件: 进程启动: c:\users\tom-w\downloads\vwlsxh\vir\ 3.exe, PID:16172 (执行者 c:\users\tom-w\downloads\vwlsxh\vir\3.exe, PID:16172) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

ATP_synthase

1.exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean. 2、3号atc一直在删除加密后的文件。。。

猥琐大叔

avast全部删除

小良

360下载扫描拦截

Jerry.Lin

Emsisoft

3/3

1. 2018/7/26 9:47:41        行为监控        检测        可疑行为 "HiddenInstallation" 来自于 "Run.cmd" -> 通知-> 用户判断：隔离       
   
2. 2018/7/26 9:47:25        行为监控        检测        可疑行为 "HiddenInstallation" 来自于 "Run.cmd" -> 通知-> 警报窗口 -> 用户判断：隔离       
   
3. 2018/7/26 9:47:12        行为监控        检测        可疑行为 "HiddenInstallation" 来自于 "Run.cmd" -> 通知-> 警报窗口 -> 用户判断：隔离       

复制代码

Im_Zeus

红伞 killed 1、3

275751198

360报1、3,
2号云鉴定为风险

迷惘的执著

卡巴斯基清空