Ransom #2 (19.06.09)

www-tekeze

huang1111 发表于 2019-6-9 21:59
kaspersky 扫描 missall不高兴开虚拟机了，上传实验室等待结果

KFA，Scan miss all 。。。双击1.exe，PDM杀 。。

www-tekeze

温馨小屋 发表于 2019-6-9 23:35
我桌面放了一大堆文件，根本没动静

哈哈，再看楼上，PDM杀！我还是Free版哦。。

a233

之前忘了在桌面放一些文件。。怪不得Avast没反应
1.exe被IDP杀了
2.exe似乎没有加密文件的行为

www-tekeze

ESET，Scan Miss All 。。。
双击，桌面文件被加密，仅限txt和jpg，而且不删除源文件，这个勒索有意思。。

www-tekeze

a233 发表于 2019-6-9 23:46
之前忘了在桌面放一些文件。。怪不得Avast没反应
1.exe被IDP杀了
2.exe似乎没有加密文件的行为

错，两个相同，放点txt和jpg试试，我刚试了2.exe，都只加密这两种类型。。。

a233

www-tekeze 发表于 2019-6-10 00:07
错，两个相同，放点txt和jpg试试，我刚试了2.exe，都只加密这两种类型。。。

刚试，IDP根本没反应，打开了“勒索软件防护”防护组件也是没有阻止到。。应该是因为不会删掉原文件的原因

www-tekeze

a233 发表于 2019-6-10 00:23
刚试，IDP根本没反应，打开了“勒索软件防护”防护组件也是没有阻止到。。应该是因为不会删掉原文件的原 ...

11楼也说了，不会删源文件，但两个行为是相同的，为何IDP一个杀一个不杀？ 搞不懂。。。

岂曰无衣

360

左手

1. 2019/6/10 星期一 08:35:44    创建文件 风险提示:低风险    允许
   
2. 进程: c:\users\administrator\desktop\1.exe
   
3. 目标: C:\Users\Administrator\Desktop\新建文本文档.txt.GIVE
   
4. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f133_桌面
   
5. 
   
6. 2019/6/10 星期一 08:35:50    创建文件 风险提示:低风险    允许
   
7. 进程: c:\users\administrator\desktop\2.exe
   
8. 目标: C:\Users\Administrator\Desktop\新建文本文档.txt.UP
   
9. 规则: [应用程序]?:\*\*\*\* -> [文件组]《询问》f133_桌面
   
10. 
    
11. 2019/6/10 星期一 08:35:53    创建新进程 风险提示:未知    允许
    
12. 进程: c:\users\administrator\desktop\1.exe
    
13. 目标: c:\windows\system32\notepad.exe
    
14. 命令行: "C:\Windows\system32\NOTEPAD.EXE" C:\Users\Administrator\Desktop\RTFM.txt
    
15. 规则: [应用程序]* -> [子应用程序]*.exe
    
16. 
    
17. 2019/6/10 星期一 08:35:58    修改文件 风险提示:木马    允许
    
18. 进程: c:\users\administrator\desktop\2.exe
    
19. 目标: C:\Users\Administrator\Desktop\RTFM.txt
    
20. 规则: [应用程序组]→a999_★安装程序_临时规则★ -> [文件组]《询问》f299_修改的非执行文件>a100 -> [文件]*; *.txt
    
21. 
    
22. 2019/6/10 星期一 08:36:01    创建新进程 风险提示:未知    允许
    
23. 进程: c:\users\administrator\desktop\2.exe
    
24. 目标: c:\windows\system32\notepad.exe
    
25. 命令行: "C:\Windows\system32\NOTEPAD.EXE" C:\Users\Administrator\Desktop\RTFM.txt
    
26. 规则: [应用程序]* -> [子应用程序]*.exe
    
27. 
    

复制代码

莒县小哥

WD
Program:Win32/Unwaders.A!ml