【New type of Rootkit/可疑云控驱动级勒索】2019二月份魔鬼，兼容32/64位signed drv

显示全部楼层 · 发表于 2020-2-22 13:51:24

来自外网

然而虚拟机没有发作，而且可能服务器死了（去年2月份），云控下驱动可能已经不行了，但是虚拟机的看上去还是established，而且好像还在交互。。。没有发现驱动投放和勒索的动作，只有命令行删卷影备份。。。

大蜘蛛的沙箱也没看到加载驱动后勒索动作，不知道为什么加载驱动，请大佬过来康康了（现在已经不投放和加载驱动了）

64位驱动VT上没有，32位才有

扫描党就随便看看了，反正19年2月之前扫描党没有挡住加载认证签名驱动都是扯，反正勒索一次得手全家升天

显示全部楼层 · 发表于 2020-2-22 14:04:23

显示全部楼层 · 发表于 2020-2-22 14:11:30

mb报Ransom

显示全部楼层 · 发表于 2020-2-22 14:12:08

E家报混淆

显示全部楼层 · 发表于 2020-2-22 14:13:28

本帖最后由 QVM360 于 2020-2-22 14:25 编辑

智量Heur杀，火绒miss...待会双击
谁有Win7专业版激活工具的，方便的话分享一下，虚拟机激活期限快到了

显示全部楼层 · 发表于 2020-2-22 14:15:22

QVM360 发表于 2020-2-22 14:13
智量Heur杀，火绒miss...待会双击

记得如果有驱动一定提取上来，注意安全

显示全部楼层 · 发表于 2020-2-22 14:19:58

退出火绒双击，瞬间被智量主防报勒索，GameOver...

退出智量，开启火绒双击，会删除还原点，放行后没反应@www-tekeze @火绒工程师

显示全部楼层 · 发表于 2020-2-22 14:24:14

没有文件被加密

，还能打开。。。

显示全部楼层 · 发表于 2020-2-22 14:42:37

QVM360 发表于 2020-2-22 14:24
没有文件被加密，还能打开。。。

你蹲点一下看看有没有驱动，记得一定把驱动抓到，但是也要小心行事

显示全部楼层 · 发表于 2020-2-22 14:47:51

QVM360 发表于 2020-2-22 14:13
智量Heur杀，火绒miss...待会双击
谁有Win7专业版激活工具的，方便的话分享一下，虚拟机激活期限快到了

加我QQ ,我这里有

[病毒样本] 【New type of Rootkit/可疑云控驱动级勒索】2019二月份魔鬼，兼容32/64位signed drv

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块