楼主: petr0vic
收起左侧

[病毒样本] Ransom (*.crypt) (18.7.25)

  [复制链接]
Dolby123
发表于 2018-7-26 16:33:25 | 显示全部楼层
SCEP

Trojan:Win32/Sonoko.A!ms

类别: 特洛伊木马

描述: 这个程序很危险,而且执行来自攻击者的命令。

推荐的操作: 立即删除这个软件。

项目:
file:C:\Users\Administrator\Desktop\Vir\1.exe
file:C:\Users\Administrator\Desktop\Vir\2.exe
file:C:\Users\Administrator\Desktop\Vir\3.exe

ELOHIM
发表于 2018-7-26 19:12:35 | 显示全部楼层
Dolby123 发表于 2018-7-26 16:33
SCEP

Trojan:Win32/Sonoko.A!ms


找到结果了。。
WhiteCruel
发表于 2018-7-26 23:31:33 | 显示全部楼层
本帖最后由 WhiteCruel 于 2018-7-26 23:32 编辑

ESET 扫描 miss all

双击 miss all,文件修改
好像连eset自己的文件都被修改了,界面全乱码





17780检测引擎已入库

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
www-tekeze
发表于 2018-7-27 14:34:26 | 显示全部楼层
WhiteCruel 发表于 2018-7-26 23:31
ESET 扫描 miss all

双击 miss all,文件修改

后缀变crypt,中招无疑。。。E家的UI都变了,肯定是安装目录里的文件被改了,自保不行啊。。
Agu
发表于 2018-7-27 16:20:07 | 显示全部楼层
Malwarebytes - 3X


360國際版(無Avira/BD) - 3X
  1. High-risk Items
  2. ----------------------
  3. C:\Users\PC\Downloads\vwlsxh\Vir\1.exe        Win32/Trojan.7c4        Not resolved
  4. C:\Users\PC\Downloads\vwlsxh\Vir\2.exe        Win32/Sorter.AVE.QuickBatchPacker.A        Not resolved
  5. C:\Users\PC\Downloads\vwlsxh\Vir\3.exe        Win32/Trojan.7c4        Not resolved
复制代码

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
WhiteCruel
发表于 2018-7-27 23:16:49 | 显示全部楼层
www-tekeze 发表于 2018-7-27 14:34
后缀变crypt,中招无疑。。。E家的UI都变了,肯定是安装目录里的文件被改了,自保不行啊。。

感觉eset的hips开自动和智能模式存在感太低,开交互虽然应该能防住,但是那弹窗数量。。。
www-tekeze
发表于 2018-7-28 00:35:03 | 显示全部楼层
WhiteCruel 发表于 2018-7-27 23:16
感觉eset的hips开自动和智能模式存在感太低,开交互虽然应该能防住,但是那弹窗数量。。。

你看14楼火绒有7个弹窗,最下面那个是触范我加的规则,保护智量安装目录的,如果没这个规则智量就被删了,这个样本同样会删火绒的文件,但删不了,本身样本没加驱,权限不够。。。ESET文件会被删,有点出乎意料,开交互能防住但也不能说自保能力强,反正杀软自身文件被不加驱的删了,说不过去啊。
WhiteCruel
发表于 2018-7-28 00:45:00 | 显示全部楼层
本帖最后由 WhiteCruel 于 2018-7-28 00:46 编辑
www-tekeze 发表于 2018-7-28 00:35
你看14楼火绒有7个弹窗,最下面那个是触范我加的规则,保护智量安装目录的,如果没这个规则智量就被删了 ...

嗯。。。我在想会不会是样本修改了一些系统的运行库之类的,才会导致eset界面乱码?按道理来说杀软不应该这么容易被篡改自己的文件。

还有我的虚拟机是XP的,不知道在其他版本的系统会不会这样


www-tekeze
发表于 2018-7-28 00:52:42 | 显示全部楼层
本帖最后由 www-tekeze 于 2018-7-28 00:55 编辑
WhiteCruel 发表于 2018-7-28 00:45
嗯。。。我在想会不会是样本修改了一些系统的运行库之类的,才会导致eset界面乱码?按道理来说杀软不应该 ...

你说的也有道理,某些系统文件被删影响了ESET的UI显示,这个样本我只知道不删隐藏文件,其它只要权限够都删。。。我没装ESET不清楚,虚拟机的话可以再试试,ESET目录里是否出现crypt后缀的。。。XP系统和其它系统差别应该不大。
WhiteCruel
发表于 2018-7-28 03:01:35 | 显示全部楼层
本帖最后由 WhiteCruel 于 2018-7-28 03:02 编辑
www-tekeze 发表于 2018-7-28 00:52
你说的也有道理,某些系统文件被删影响了ESET的UI显示,这个样本我只知道不删隐藏文件,其它只要权限够都 ...

program files目录下的文件完好无损,但是program data下的文件就没躲过这一劫,39个文件被修改
LiveGrid挂了,看不到任何文件的信誉信息,更新也是,文件监控倒是还正常,解压了一个旧样本直接隔离了。
重启后进不了系统,提示系统文件损坏,这个样本压根没打算勒索而是搞破坏吧,勒索信也没有



召唤一下B神看看@B100D1E55

忘记上图了







本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-29 19:36 , Processed in 0.108665 second(s), 14 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表