Ransom (19.05.14)

fzshot

Sophos Home Premium

www-tekeze

www-tekeze 发表于 2019-5-14 21:10
1-1在VT上报毒率为15/72，但没报勒索的，ESET报的是Kryptik 。

https://www.virustotal.com/#/file/0e ...

昨晚只有15家报，才半天时间就变32家了。。。看来E家的号召力不错。。

小Q机器人

www-tekeze 发表于 2019-5-15 10:42
昨晚只有15家报，才半天时间就变32家了。。。看来E家的号召力不错。。

这个病毒到底有啥破坏性？？？

B100D1E55

www-tekeze 发表于 2019-5-15 10:42
昨晚只有15家报，才半天时间就变32家了。。。看来E家的号召力不错。。

因为看到疑似E家误报就来看一下，发现E家报的没错，这个PE里包含加密的ransom代码，主程序会进行解密，所以报Kryptik。只不过楼主提供的这个样本应该改残了所以没走进去就退出（dos stub都不见了），我随便搜了一下就发现一个一模一样可以成功运行的版本，动作很多，懒得下断点分析了这种入库的Kryptik估计PE内存载入后就匹配到毒库，加UPX没报估计是因为一开始没命中Kryptik(本地引擎报毒阈值比较高)，跑开后也没发现有什么东西……而云端susp拉黑应该是因为加壳后虽然有区别但高度相似（云端检测阈值会低一点），所以后来又拉黑了


纯粹是猜的，一开始狂吃CPU那十几秒估计是为了反动态启发虚拟机，火绒扫了一秒就弃疗了




BD才是真神奇，一开始杀了1.exe，更新之后又把这个文件从隔离区吐了出来。但实际运行的时候被atc杀，估计atc对这类初始行为进行了学习，同时这也暗示BD云有误报自动解除机制。

BD云端沙盘启发打分也可以看出1-1比1可疑那么一丢丢

GaoBoy

你发的这个程序有问题啊，检测有没有区段 .leto,关键是你的程序用的UPX壳，根本没有这个区段。程序就跑不起来！！！！！

www-tekeze

B100D1E55 发表于 2019-5-15 14:42
因为看到疑似E家误报就来看一下，发现E家报的没错，这个PE里包含加密的ransom代码，主程序会进行解密，所 ...

哈哈，看来智量Heur就干掉没错啊。。。已下载你的样本，晚上跑一下。。

CBI

B100D1E55 发表于 2019-5-15 14:42
因为看到疑似E家误报就来看一下，发现E家报的没错，这个PE里包含加密的ransom代码，主程序会进行解密，所 ...

BD总是带给你意想不到的惊喜，前几天我更新IDM（正版），今天我通过手机QQ传送文件到电脑，均被BD侦测出入侵威胁，而且IDM还被回滚了一部分

CBI

www-tekeze 发表于 2019-5-15 10:42
昨晚只有15家报，才半天时间就变32家了。。。看来E家的号召力不错。。

还记得“你抄我抄大家抄，抄抄更欢乐”么，其实不止E家的鉴定结果深受喜爱，卡巴的也一样

www-tekeze

CBI 发表于 2019-5-15 16:53
还记得“你抄我抄大家抄，抄抄更欢乐”么，其实不止E家的鉴定结果深受喜爱，卡巴的也一样

那是。。。比如管家就很喜欢司机。。