Ransom (*.crypt) (18.7.25)

显示全部楼层 · 发表于 2018-8-3 08:21:06

本帖最后由 ccboxes 于 2018-8-3 08:27 编辑

霄栋发表于 2018-7-26 11:23
重新在虚拟机里测试了下，atd还是三个全杀，但也同样会把被加密的文件隔离，而且没有触发文件恢复。感觉2 ...

你开启勒索软件防护了吗？

如果没有开启勒索软件防护，ATD就不会进行回滚。

显示全部楼层 · 发表于 2018-8-4 08:58:59

ccboxes 发表于 2018-8-3 08:21
你开启勒索软件防护了吗？

如果没有开启勒索软件防护，ATD就不会进行回滚。

当然开启了，测试时全程开启勒索防护，但确实没有触发回滚。

显示全部楼层 · 发表于 2018-8-4 09:01:06

chenrui19930 发表于 2018-8-3 04:51
见我在BD区的帖子，官方回复沙盘会影响BD的行为分析，BD默认设置为不与沙盘当中的程序互动，除非动作太大

我看到了，所以我后来重新在虚拟机里测试了一下，同样能杀，但在开启勒索防护的条件下并不会进行回滚。根据配置文档，勒索防护是支持回滚xml格式文件的，但在虚拟机中xml格式文件被加密后，直接被ATD移除，并没有被回滚。

[病毒样本] Ransom (*.crypt) (18.7.25)