ClopRansomware (19.02.16)

显示全部楼层 · 发表于 2019-2-16 23:23:04

本帖最后由 www-tekeze 于 2019-2-16 23:28 编辑

191196846 发表于 2019-2-16 23:20
我重启了……然后测试被过……

前一次还好好的

呵呵，第一个弹窗就是主防报勒索！系统：1803 bug10

处理后被删了，重新解压再来一次，看时间，情况完全相同！

显示全部楼层 · 发表于 2019-2-16 23:23:16

191196846 发表于 2019-2-16 23:20
我重启了……然后测试被过……

前一次还好好的

那就日了....太玄了

显示全部楼层 · 发表于 2019-2-16 23:29:18

www-tekeze 发表于 2019-2-16 23:23
呵呵，第一个弹窗就是主防报勒索！系统：1803 bug10

处理后被删了，重新解压再来一次，看时间，情况 ...

你把勒索诱捕关掉再试下
玄学，不管了

显示全部楼层 · 发表于 2019-2-16 23:35:24

191196846 发表于 2019-2-16 23:20
我重启了……然后测试被过……

前一次还好好的

刚重启，重新解压再来一次，哈哈。。

显示全部楼层 · 发表于 2019-2-16 23:36:41

www-tekeze 发表于 2019-2-16 23:35
刚重启，重新解压再来一次，哈哈。。

你实机虚拟机都试试？

显示全部楼层 · 发表于 2019-2-16 23:41:40

本帖最后由 www-tekeze 于 2019-2-16 23:51 编辑

191196846 发表于 2019-2-16 23:29
你把勒索诱捕关掉再试下
玄学，不管了

主防报勒索并不全靠诱饵，真那样就太Low了，但这个样本关掉后确实不报了。

显示全部楼层 · 发表于 2019-2-16 23:43:52

www-tekeze 发表于 2019-2-16 23:41
主防报勒索并不全靠诱饵，真那样就太Low了，但这个关掉后确实不报了。

感觉可以理解为诱捕文件被加密之后主防才反应过来

显示全部楼层 · 发表于 2019-2-16 23:45:53

191196846 发表于 2019-2-16 23:36
你实机虚拟机都试试？

27楼说过了，bug10是影子里，实机，之前Win8.1是虚拟机。

显示全部楼层 · 发表于 2019-2-16 23:50:14

SUARP-BIGNUM 发表于 2019-2-16 23:43
感觉可以理解为诱捕文件被加密之后主防才反应过来

已经说了，不全靠诱饵，我以前通常都不开诱捕的，主防仍然会报。。。但火绒提供了这个功能，可以提高主防拦截率，干嘛不开启？不过我最信赖的是文档锁死规则，任何勒索都不惧。。

显示全部楼层 · 发表于 2019-2-16 23:55:34

www-tekeze 发表于 2019-2-16 23:50
已经说了，不全靠诱饵，我以前通常都不开诱捕的，主防仍然会报。。。但火绒提供了这个功能，可以提高主防 ...

我朋友写了一个勒索，如果不开诱捕，火绒就嗝屁了。

[病毒样本] ClopRansomware (19.02.16)