找注册机发现的勒索

显示全部楼层 · 发表于 2018-9-29 19:57:44

本帖最后由 www-tekeze 于 2018-9-29 19:59 编辑

www-tekeze 发表于 2018-9-29 19:49
这个有点厉害，假冒系统文件wermgr.exe (微软的问题报告)，不加文档保护规则得哭死。。

反复试了 ...

如果用的Win8.1或10，因为这个wermgr.exe是带数签的，火绒联网控制给的还是绿色窗口，不过这个联网只是发送加密私钥给作者，并不是下载加密程序，也就是说阻止联网并不能阻止文档被加密，反而连解密的机会都没了 (愿意交赎金的话)。。。PS：因为不会加密隐藏文件，所以火绒的勒索诱捕被绕过！

显示全部楼层 · 发表于 2018-9-29 20:06:55

经测试，关闭bd文件监控，双击，勒索模块拦截并恢复文件，同时关闭勒索保护，ATD被过，文件被加密；测试老司机，关闭文件监控，防火墙，程序控制，网络，双击PDM完美拦截并回滚，老司机治勒索还是强

显示全部楼层 · 发表于 2018-9-29 20:33:43

Trend Micro Scan Miss

复制代码

显示全部楼层 · 发表于 2018-9-29 21:01:13

www-tekeze 发表于 2018-9-29 19:57
如果用的Win8.1或10，因为这个wermgr.exe是带数签的，火绒联网控制给的还是绿色窗口，不过这个联网只是发 ...

幸亏BG回滚，不然我就GG

显示全部楼层 · 发表于 2018-9-29 21:01:32

www-tekeze 发表于 2018-9-29 19:49
这个有点厉害，假冒系统文件wermgr.exe (微软的问题报告)，不加文档保护规则得哭死。。

反复试了 ...

把 wermgr.exe 传上来看看

显示全部楼层 · 发表于 2018-9-29 21:02:06

萧萧小发表于 2018-9-29 20:06
经测试，关闭bd文件监控，双击，勒索模块拦截并恢复文件，同时关闭勒索保护，ATD被过，文件被加密；测试老 ...

ATD 竟然被过，不可思议

显示全部楼层 · 发表于 2018-9-29 21:02:33

aboringman 发表于 2018-9-29 17:03
Dr.Web：miss.

双击DPH击杀之。

竟然不是用户文件完整性。。。。

显示全部楼层 · 发表于 2018-9-29 21:02:40

badanwfs 发表于 2018-9-29 21:01
幸亏BG回滚，不然我就GG

那是，有回滚就是好。。

显示全部楼层 · 发表于 2018-9-29 21:05:48

歌德塔大蜘蛛发表于 2018-9-29 21:01
把 wermgr.exe 传上来看看

之前没说清，不是篡改磁盘上的 wermgr.exe，是调用然后注入，所以没文件。。。
火绒拦截这种内存病毒很无力。。

显示全部楼层 · 发表于 2018-9-29 21:06:30

scep scan miss.

[病毒样本] 找注册机发现的勒索