ShadeRansomware (19.02.14)

Jerry.Lin

https://twitter.com/GrujaRS/status/1095967176224317442

Attack Chain:

.pdf -> .js -> .exe


01467b0b479f1dec612a64c4646ba64267a69fb04cf3c15686abd0851c30b077.pdf
https://www.virustotal.com/#/file/01467b0b479f1dec612a64c4646ba64267a69fb04cf3c15686abd0851c30b077/detection

_ _ _ _ _.js
https://www.virustotal.com/#/file/ddb8d21b0d852db7855a29d05dee2cfd464780a22e31b67d3ab7b75fb5e9d767/detection

csrss.exe
https://www.virustotal.com/#/file/6072ef4d17f6bdc3bc0a659bcdac8a17dcd857e973babffc67f5af417d539919/detection

BE_HC

NortonScan Kill 2x





Run MISS

dreams521

卡巴

1. 16.02.2019 23.01.35;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\shade\_ _ _ _ _.js;C:\Users\Administrator\Desktop\shade\_ _ _ _ _.js;Trojan-Downloader.JS.Agent.a;木马程序;02/16/2019 23:01:35
   
2. 16.02.2019 23.01.35;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\shade\csrss.exe;C:\Users\Administrator\Desktop\shade\csrss.exe;Trojan-Ransom.Win32.Shade.ppc;木马程序;02/16/2019 23:01:35
   
3. 16.02.2019 23.01.35;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\shade\01467b0b479f1dec612a64c4646ba64267a69fb04cf3c15686abd0851c30b077.pdf;C:\Users\Administrator\Desktop\shade\01467b0b479f1dec612a64c4646ba64267a69fb04cf3c15686abd0851c30b077.pdf;HEUR:Trojan.PDF.Alien.gen;木马程序;02/16/2019 23:01:35
   

复制代码

心醉咖啡

火绒

1. 病毒库：2019-02-16 17:12
   
2. 开始时间：2019-02-16 23:03
   
3. 总计用时：00:00:06
   
4. 扫描对象：7个
   
5. 扫描文件：3个
   
6. 发现风险：2个
   
7. 已处理风险：2个
   
8. 发现系统修复项：0个
   
9. 处理系统修复项：0个
   
10. 
    
11. 病毒详情
    
12. 
    
13. 风险路径：F:\浏览器下载\shade\_ _ _ _ _.js, 病毒名：SVM:TrojanDownloader/JS.MalBehav.gen!D, 病毒ID：[d301d27c22262e0f], 处理结果：已处理
    
14. 风险路径：F:\浏览器下载\shade\csrss.exe, 病毒名：HEUR:VirTool/Obfuscator.gen!B, 病毒ID：[2d18551aef762f90], 处理结果：已处理
    

复制代码

BE_HC

铁壳判PDF为网络钓鱼文件，但可能试图获取敏感信息




Dr Clef,
We have processed your submission (Tracking #43055367) and your submission is now closed. The following is a report of our findings for the files in your submission:
Submission Summary

---

Files Submitted

#	Filename	MD5	Determination	Signature Protection Name	RR Seq#
1	01467b0b479f1dec612a64c4646ba64267a69fb04cf3c15686abd0851c30b077.pdf	8e416ce38f7eeb51dd5d852f9eed2aa5	Phish	N/A	N/A

Developer Notes:

1. 01467b0b479f1dec612a64c4646ba64267a69fb04cf3c15686abd0851c30b077.pdf - Phish. It is not malicious itself, but may attempt to obtain sensitive information.

欧阳宣

gd杀js和exe

www-tekeze

智量清空，火绒kill 2X，有空双击。。

www-tekeze

安天智甲、管家无BD，都只kill .exe 。。。补充：加BD后不变。

www-tekeze

www-tekeze 发表于 2019-2-17 08:58
智量清空，火绒kill 2X，有空双击。。

双击pdf，被安全阅读模式拦截，浏览器直接输网址，唉，不知什么大神会去玩。

www-tekeze

www-tekeze 发表于 2019-2-17 09:15
双击pdf，被安全阅读模式拦截，浏览器直接输网址，唉，不知什么大神会去玩。

关闭安全阅读模式，选信任此网站，但网站都打不开。。