找注册机发现的勒索

显示全部楼层 · 发表于 2018-9-30 09:39:45

badanwfs 发表于 2018-9-30 09:20
我大概猜一下：Heur.AdvML ，看名字是启发和机器学习吧，乱猜的

是启发式：高级机器学习。
刚出来的时候叫sape，搞得一群人云里雾里。
VT上看到Symantec报ML：high巴拉巴拉的就是这个

显示全部楼层 · 发表于 2018-9-30 11:18:56

SEP KILL

显示全部楼层 · 发表于 2018-9-30 13:19:42

Avira TR/AD.GandCrab.B

显示全部楼层 · 发表于 2018-9-30 14:06:42

大部分杀软还是比较给力的

显示全部楼层 · 发表于 2018-9-30 17:24:46

我都是虚拟机安装这些注册机。

显示全部楼层 · 发表于 2018-9-30 18:55:08

淞小璟发表于 2018-9-30 17:24
我都是虚拟机安装这些注册机。

VT上，没几家报，所以就双击了

显示全部楼层 · 发表于 2018-9-30 22:25:14

2018/9/30 星期日 22:23:34 创建新进程风险提示:未知允许
进程: c:\users\administrator\desktop\crack_writers_cafe.exe
目标: c:\windows\system32\wermgr.exe
命令行: "C:\Windows\System32\wermgr.exe"
规则: [应用程序]* -> [子应用程序]→a070_SystemRoot《系统程序》 -> [应用程序]c:\windows\system32\wermgr.exe
2018/9/30 星期日 22:23:34 修改注册表值风险提示:敏感阻止
进程: c:\windows\system32\wermgr.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序]* -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings; ProxyEnable
2018/9/30 星期日 22:23:45 创建文件风险提示:低风险允许
进程: c:\windows\system32\wermgr.exe
目标: C:\96eed42096eed3c8716.lock
规则: [应用程序]c:\windows\* -> [文件组]《保护》f023_根目录
2018/9/30 星期日 22:23:50 创建文件风险提示:低风险允许
进程: c:\windows\system32\wermgr.exe
目标: D:\96eed42096eed3c8716.lock
规则: [应用程序]c:\windows\* -> [文件组]《保护》f023_根目录
2018/9/30 星期日 22:23:52 创建文件风险提示:低风险允许
进程: c:\windows\system32\wermgr.exe
目标: E:\96eed42096eed3c8716.lock
规则: [应用程序]c:\windows\* -> [文件组]《保护》f023_根目录
2018/9/30 星期日 22:23:58 访问网络风险提示:未知允许
进程: c:\windows\system32\wermgr.exe
目标: TCP [本机 : 50678] -> [217.160.0.234 : 80 (http)]
规则: [应用程序]*.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]
2018/9/30 星期日 22:23:58 创建文件风险提示:低风险阻止并结束进程
进程: c:\windows\system32\wermgr.exe
目标: D:\$360Section\96eed42096eed3c8716.lock
规则: [应用程序]c:\windows\* -> [文件]d:\*; *.*

复制代码

显示全部楼层 · 发表于 2018-10-2 20:42:00

火绒刚刚杀完

[病毒样本] 找注册机发现的勒索

本帖子中包含更多资源