Ransom (*.crypt) (18.7.25)

Dolby123

SCEP

Trojan:Win32/Sonoko.A!ms

类别: 特洛伊木马

描述: 这个程序很危险，而且执行来自攻击者的命令。

推荐的操作: 立即删除这个软件。

项目:
file:C:\Users\Administrator\Desktop\Vir\1.exe
file:C:\Users\Administrator\Desktop\Vir\2.exe
file:C:\Users\Administrator\Desktop\Vir\3.exe

ELOHIM

Dolby123 发表于 2018-7-26 16:33
SCEP

Trojan:Win32/Sonoko.A!ms

找到结果了。。

WhiteCruel

ESET 扫描 miss all

双击 miss all，文件修改
好像连eset自己的文件都被修改了，界面全乱码





17780检测引擎已入库

www-tekeze

WhiteCruel 发表于 2018-7-26 23:31
ESET 扫描 miss all

双击 miss all，文件修改

后缀变crypt，中招无疑。。。E家的UI都变了，肯定是安装目录里的文件被改了，自保不行啊。。

Agu

Malwarebytes - 3X


360國際版(無Avira/BD) - 3X

1. High-risk Items
   
2. ----------------------
   
3. C:\Users\PC\Downloads\vwlsxh\Vir\1.exe        Win32/Trojan.7c4        Not resolved
   
4. C:\Users\PC\Downloads\vwlsxh\Vir\2.exe        Win32/Sorter.AVE.QuickBatchPacker.A        Not resolved
   
5. C:\Users\PC\Downloads\vwlsxh\Vir\3.exe        Win32/Trojan.7c4        Not resolved

复制代码

WhiteCruel

www-tekeze 发表于 2018-7-27 14:34
后缀变crypt，中招无疑。。。E家的UI都变了，肯定是安装目录里的文件被改了，自保不行啊。。

感觉eset的hips开自动和智能模式存在感太低，开交互虽然应该能防住，但是那弹窗数量。。。

www-tekeze

WhiteCruel 发表于 2018-7-27 23:16
感觉eset的hips开自动和智能模式存在感太低，开交互虽然应该能防住，但是那弹窗数量。。。

你看14楼火绒有7个弹窗，最下面那个是触范我加的规则，保护智量安装目录的，如果没这个规则智量就被删了，这个样本同样会删火绒的文件，但删不了，本身样本没加驱，权限不够。。。ESET文件会被删，有点出乎意料，开交互能防住但也不能说自保能力强，反正杀软自身文件被不加驱的删了，说不过去啊。

WhiteCruel

www-tekeze 发表于 2018-7-28 00:35
你看14楼火绒有7个弹窗，最下面那个是触范我加的规则，保护智量安装目录的，如果没这个规则智量就被删了 ...

嗯。。。我在想会不会是样本修改了一些系统的运行库之类的，才会导致eset界面乱码？按道理来说杀软不应该这么容易被篡改自己的文件。

还有我的虚拟机是XP的，不知道在其他版本的系统会不会这样

www-tekeze

WhiteCruel 发表于 2018-7-28 00:45
嗯。。。我在想会不会是样本修改了一些系统的运行库之类的，才会导致eset界面乱码？按道理来说杀软不应该 ...

你说的也有道理，某些系统文件被删影响了ESET的UI显示，这个样本我只知道不删隐藏文件，其它只要权限够都删。。。我没装ESET不清楚，虚拟机的话可以再试试，ESET目录里是否出现crypt后缀的。。。XP系统和其它系统差别应该不大。

WhiteCruel

www-tekeze 发表于 2018-7-28 00:52
你说的也有道理，某些系统文件被删影响了ESET的UI显示，这个样本我只知道不删隐藏文件，其它只要权限够都 ...

program files目录下的文件完好无损，但是program data下的文件就没躲过这一劫，39个文件被修改
LiveGrid挂了，看不到任何文件的信誉信息，更新也是，文件监控倒是还正常，解压了一个旧样本直接隔离了。
重启后进不了系统，提示系统文件损坏，这个样本压根没打算勒索而是搞破坏吧，勒索信也没有



召唤一下B神看看@B100D1E55

忘记上图了