加强壳的WNCRY

Nocria

左手

1. 2019/6/2 星期日 23:01:32    创建文件 风险提示:低风险    允许
   
2. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
   
3. 目标: C:\Users\Administrator\Desktop\b.wnry
   
4. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
   
5. 
   
6. 2019/6/2 星期日 23:01:34    创建文件 风险提示:低风险    允许
   
7. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
   
8. 目标: C:\Users\Administrator\Desktop\c.wnry
   
9. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
   
10. 
    
11. 2019/6/2 星期日 23:01:34    创建文件夹 风险提示:低风险    允许
    
12. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
13. 目标: C:\Users\Administrator\Desktop\msg
    
14. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]?:\*《任意文件夹》 -> [文件]?:\*
    
15. 
    
16. 2019/6/2 星期日 23:01:41    创建文件 风险提示:低风险    允许
    
17. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
18. 目标: C:\Users\Administrator\Desktop\msg\m_bulgarian.wnry
    
19. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
20. 
    
21. 2019/6/2 星期日 23:01:44    创建文件 风险提示:低风险    允许
    
22. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
23. 目标: C:\Users\Administrator\Desktop\msg\m_chinese (simplified).wnry
    
24. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
25. 
    
26. 2019/6/2 星期日 23:01:47    创建文件 风险提示:低风险    允许
    
27. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
28. 目标: C:\Users\Administrator\Desktop\r.wnry
    
29. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
30. 
    
31. 2019/6/2 星期日 23:01:51    创建文件 风险提示:低风险    允许
    
32. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
33. 目标: C:\Users\Administrator\Desktop\s.wnry
    
34. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
35. 
    
36. 2019/6/2 星期日 23:01:52    创建文件 风险提示:低风险    允许
    
37. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
38. 目标: C:\Users\Administrator\Desktop\t.wnry
    
39. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
40. 
    
41. 2019/6/2 星期日 23:01:54    创建文件 风险提示:低风险    允许
    
42. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
43. 目标: C:\Users\Administrator\Desktop\taskdl.exe
    
44. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
45. 
    
46. 2019/6/2 星期日 23:01:58    创建文件 风险提示:低风险    允许
    
47. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
48. 目标: C:\Users\Administrator\Desktop\taskse.exe
    
49. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
50. 
    
51. 2019/6/2 星期日 23:01:59    创建文件 风险提示:低风险    允许
    
52. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
53. 目标: C:\Users\Administrator\Desktop\u.wnry
    
54. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
55. 
    
56. 2019/6/2 星期日 23:02:00    创建新进程 风险提示:未知    阻止
    
57. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
58. 目标: c:\windows\system32\attrib.exe
    
59. 命令行: attrib +h .
    
60. 规则: [应用程序]?* -> [子应用程序]?:\windows\system32\attrib.exe
    
61. 
    
62. 2019/6/2 星期日 23:02:13    创建新进程 风险提示:未知    阻止
    
63. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
64. 目标: c:\windows\system32\icacls.exe
    
65. 命令行: icacls . /grant Everyone:F /T /C /Q
    
66. 规则: [应用程序]* -> [子应用程序]a003_《行为防御》_降权<1>
    
67. 
    
68. 2019/6/2 星期日 23:02:17    创建文件 风险提示:低风险    允许
    
69. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
70. 目标: C:\Users\Administrator\Desktop\00000000.pky
    
71. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
72. 
    
73. 2019/6/2 星期日 23:02:19    创建文件 风险提示:低风险    允许
    
74. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
75. 目标: C:\Users\Administrator\Desktop\00000000.eky
    
76. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
77. 
    
78. 2019/6/2 星期日 23:02:22    创建文件 风险提示:低风险    允许
    
79. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
80. 目标: C:\Users\Administrator\Desktop\00000000.res
    
81. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
82. 
    
83. 2019/6/2 星期日 23:02:22    创建新进程 风险提示:未知    允许
    
84. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
85. 目标: c:\users\administrator\desktop\taskdl.exe
    
86. 命令行: taskdl.exe
    
87. 规则: [应用程序]?:\*\*\*\* -> [子应用程序]《..\*上级》
    
88. 
    
89. 2019/6/2 星期日 23:02:25    创建文件 风险提示:低风险    允许
    
90. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
91. 目标: C:\Users\Administrator\Desktop\@WanaDecryptor@.exe
    
92. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
    
93. 
    
94. 2019/6/2 星期日 23:02:34    创建新进程 风险提示:未知    允许
    
95. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
    
96. 目标: c:\windows\system32\cmd.exe
    
97. 命令行: C:\windows\system32\cmd.exe /c 289891559487744.bat
    
98. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [子应用程序]?:\windows\system32\cmd.exe
    
99. 
    
100. 2019/6/2 星期日 23:02:34    创建文件 风险提示:低风险    允许
     
101. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
     
102. 目标: C:\Users\Administrator\Desktop\~SD1F4.tmp
     
103. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《写入》f309_允许修改的非执行文件>a100 -> [文件]*; *.tmp
     
104. 
     
105. 2019/6/2 星期日 23:02:34    修改文件 风险提示:木马    允许
     
106. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
     
107. 目标: C:\Users\Administrator\Desktop\~SD1F4.tmp
     
108. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《写入》f309_允许修改的非执行文件>a100 -> [文件]*; *.tmp
     
109. 
     
110. 2019/6/2 星期日 23:02:34    删除文件 风险提示:木马    允许
     
111. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
     
112. 目标: C:\Users\Administrator\Desktop\~SD1F4.tmp
     
113. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《写入》f309_允许修改的非执行文件>a100 -> [文件]*; *.tmp
     
114. 
     
115. 2019/6/2 星期日 23:02:38    创建文件 风险提示:低风险    允许
     
116. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
     
117. 目标: C:\Users\Administrator\Desktop\191724.28669791_142X142X4.jpg.WNCRYT
     
118. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
     
119. 
     
120. 2019/6/2 星期日 23:02:41    创建文件 风险提示:低风险    允许
     
121. 进程: c:\windows\system32\cmd.exe
     
122. 目标: C:\Users\Administrator\Desktop\m.vbs
     
123. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\windows\system32\cmd.exe -> [文件组]《询问》f060_桌面
     
124. 
     
125. 2019/6/2 星期日 23:02:43    创建文件 风险提示:低风险    允许
     
126. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
     
127. 目标: C:\Users\Administrator\Desktop\191724.28669791_142X142X4.jpg.WNCRY
     
128. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f909_低优先_询问桌面/开始菜单 -> [文件]c:\users\*\desktop\*
     
129. 
     
130. 2019/6/2 星期日 23:02:49    创建新进程 风险提示:未知    允许
     
131. 进程: c:\windows\system32\cmd.exe
     
132. 目标: c:\windows\system32\cscript.exe
     
133. 命令行: cscript.exe  //nologo m.vbs
     
134. 规则: [应用程序]?:\windows\system32\cmd.exe -> [子应用程序]c:\windows\system32\*.exe
     
135. 
     
136. 2019/6/2 星期日 23:02:54    修改文件 风险提示:木马    阻止
     
137. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
     
138. 目标: C:\Users\Administrator\Desktop\191724.28669791_142X142X4.jpg
     
139. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [文件组]《坚固》f299_询问修改的非执行文件>a100 -> [文件]*; *.jpg
     
140. 
     
141. 2019/6/2 星期日 23:02:57    创建文件 风险提示:低风险    允许
     
142. 进程: c:\windows\system32\cscript.exe
     
143. 目标: C:\Users\Administrator\Desktop\@WanaDecryptor@.exe.lnk
     
144. 规则: [应用程序]c:\windows\system32\?script.exe -> [文件组]《询问》f060_桌面
     
145. 
     
146. 2019/6/2 星期日 23:02:57    创建新进程 风险提示:未知    允许
     
147. 进程: c:\users\administrator\desktop\wcry2.0 勒索.vmp.exe
     
148. 目标: c:\users\administrator\desktop\taskdl.exe
     
149. 命令行: taskdl.exe
     
150. 规则: [应用程序]?:\*\*\*\* -> [子应用程序]《..\*上级》
     
151. 
     
152. 2019/6/2 星期日 23:03:02    删除文件 风险提示:木马    允许
     
153. 进程: c:\windows\system32\cmd.exe
     
154. 目标: C:\Users\Administrator\Desktop\289891559487744.bat
     
155. 规则: [应用程序组]→a999_★《临时规则_安装模式》★ -> [应用程序]c:\windows\system32\cmd.exe -> [文件组]《询问》f060_桌面
     
156. 
     

复制代码

huang1111

卡巴扫描miss   加强壳果然有效

huang1111

双击结果

记录微笑

huang1111 发表于 2019-6-2 23:16
双击结果

双击卡巴要是MISS就神作了
我没做任何处理，只是加壳。

记录微笑

humanlwj52 发表于 2019-6-2 23:01

又是和以前一样，反勒索一杀基本上除了系统关键进程其他都被终止了。
有文件被加密吗？

jdsh

WD

huang1111

whl2606555 发表于 2019-6-2 23:18
双击卡巴要是MISS就神作了
我没做任何处理，只是加壳。

这是2020a版本，很有可能miss，又不是稳定版

温馨小屋

huang1111 发表于 2019-6-2 23:16
双击结果

bazon是云拉黑报法啊，看来壳里病毒出来之后就被云识别了

c/mm

Dr.web

日期：
2019/6/2/周日 23:22组件：
SpIDer Guard代码：
600事件：
侦测到威胁详细信息：
对象： u.wnry
威胁： Trojan.Encoder.11432
操作： 已隔离
路径： C:\users\us\desktop\temp\wcry2.0 勒索.vmp\u.wnry

日期：
2019/6/2/周日 23:21组件：
SpIDer Guard代码：
600事件：
侦测到威胁详细信息：
对象： taskdl.exe
威胁： Trojan.Encoder.11432
操作： 已隔离
路径： C:\users\us\desktop\temp\wcry2.0 勒索.vmp\taskdl.exe

日期：
2019/6/2/周日 23:20组件：
SpIDer Guard代码：
600事件：
侦测到威胁详细信息：
对象： taskse.exe
威胁： Trojan.Encoder.11432
操作： 已隔离
路径： C:\users\us\desktop\temp\wcry2.0 勒索.vmp\taskse.exe