SodinokibiRansomware (19.05.01)

vm001

www-tekeze 发表于 2019-5-1 17:08
截的图都被加密了。。   重来一次，补上 。

你这里火绒监控也没报？，我的是火绒监控报的，关闭监控后，样本就调用了一下powershell就没其他动作了

www-tekeze

vm001 发表于 2019-5-1 17:51
你这里火绒监控也没报？，我的是火绒监控报的，关闭监控后，样本就调用了一下powershell就没其他动作了

我监控开着的但没报啊，还双击了几次。。   加了反攻击规则看到的动作就比较多了。

vm001

www-tekeze 发表于 2019-5-1 18:02
我监控开着的但没报啊，还双击了几次。。   加了反攻击规则看到的动作就比较多了。

不过现在火绒友拉黑了，报毒名和之前不一样了

YU2711

Trend Micro Beta Blocked

1. Name:        wscript.exe
   
2. From:        Microsoft Corporation
   
3. Version:        5.812.10240.16384
   
4. Copyright:        © Microsoft Corporation. All rights reserved.
   
5. Detected Resource or Process ID:        C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
   
6. Response:        Terminated

复制代码

DPT1

www-tekeze 发表于 2019-5-1 17:08
截的图都被加密了。。   重来一次，补上 。

这还真是勒索啊！我双击咖啡没反应，但是电脑上的文件也没有被加密

www-tekeze

vm001 发表于 2019-5-1 18:05
不过现在火绒友拉黑了，报毒名和之前不一样了

额，更新后是拉黑入库，看来之前是碰巧撞上特征了。。

www-tekeze

DPT1 发表于 2019-5-1 20:12
这还真是勒索啊！我双击咖啡没反应，但是电脑上的文件也没有被加密

如假包换，也许你文档太少？ 在不同位置多放点试试。。

温馨小屋

文件名: powershell.exe
威胁名称: SONAR.AM.PS!g1完整路径: c:\windows\syswow64\windowspowershell\v1.0\powershell.exe

____________________________

____________________________


在电脑上 
2009/7/14 ( 7:32:37 )

上次使用时间 
不可用

启动项 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


powershell.exe 威胁名称: SONAR.AM.PS!g1
定位


多数用户信任的文件
Norton 社区中有数百万用户 使用了此文件。

发布已久的文件
该文件已在 9 年 9 个月 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质


____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

杀软小白鼠

Panda Dome Advanced
扫描不报
双击拦截

badanwfs

FSP 监控MISS ，未双击。