JavaLocker2.0

显示全部楼层 · 发表于 2020-3-11 11:33:10

www-tekeze 发表于 2020-3-11 11:29
有不少这类样本，确定杀不过来很可能漏，但明摆着有勒索，重启或注销即可，之后根据日志手动杀。。 ...

被火绒拦截的同时其他程序正在加密用户文件。多线程+多程序。。

显示全部楼层 · 发表于 2020-3-11 11:33:57

www-tekeze 发表于 2020-3-11 11:26
过不了。。。除非不加密隐藏文件也不加密系统盘，或者从最后一个盘符开始加密，再有就是火绒诱饵是同一时 ...

应该是判断到这个是诱饵，不加密

显示全部楼层 · 发表于 2020-3-11 11:38:23

dsd.slkdlksf 发表于 2020-3-11 11:33
被火绒拦截的同时其他程序正在加密用户文件。多线程+多程序。。

前面说了，重启或注销，除非一开始就被加了自启或计划任务 (但这个火绒能拦)，只能先进安全模式。。。事实上你说的这种千足虫类的多线程+多程序，只靠主防翻车的太多太多了，起码是部分被加密。。

显示全部楼层 · 发表于 2020-3-11 11:41:07

QVM360 发表于 2020-3-11 11:33
应该是判断到这个是诱饵，不加密

反正现实中的文档有同一时刻形成的么？火绒诱饵在这点上也够Low的。。

显示全部楼层 · 发表于 2020-3-11 11:41:53

www-tekeze 发表于 2020-3-11 11:38
前面说了，重启或注销，除非一开始就被加了自启或计划任务 (但这个火绒能拦)，只能先进安全模式。。。事 ...

试一试这个样本

显示全部楼层 · 发表于 2020-3-11 11:42:35

www-tekeze 发表于 2020-3-11 11:41
反正现实中的文档有同一时刻形成的么？火绒诱饵在这点上也够Low的。。

到时候分拣样本的时候，把火绒简单拉黑的改个md5再放上来

显示全部楼层 · 发表于 2020-3-11 11:45:28

www-tekeze 发表于 2020-3-11 11:41
反正现实中的文档有同一时刻形成的么？火绒诱饵在这点上也够Low的。。

多程序才能过自定义的诱饵。

显示全部楼层 · 发表于 2020-3-11 11:48:14

www-tekeze 发表于 2020-3-11 11:38
前面说了，重启或注销，除非一开始就被加了自启或计划任务 (但这个火绒能拦)，只能先进安全模式。。。事 ...

趋势从不翻车

我开多少线程和程序都是同时被阻止

显示全部楼层 · 发表于 2020-3-11 11:48:49

本帖最后由 BE_HC 于 2020-3-11 11:52 编辑

逃逸诱饵理论上很好解决
一般生成的诱饵文件基本上都是随机的，但是都是没有意义的，如果可以勒索可以匹配这些来避开诱饵文件

个人用户设置的诱饵文件倾向于有意义的文字，并且文件在5~10MB左右最好，不清楚是否存在按大小来加密的勒索

以火绒生成的诱饵文件为例，大都在100kb以下，并且都打不开

很明显可以看出来那个是有意义的docx文件，大家来猜猜那个是真的

显示全部楼层 · 发表于 2020-3-11 11:49:30

BD 诺顿杀了吗？

[病毒样本] JavaLocker2.0

本帖子中包含更多资源