#WannaRen #Ransomware

显示全部楼层 · 发表于 2020-4-8 12:51:55

病毒探索者发表于 2020-4-8 12:50
我个人觉得那个exe不是勒索，运行了也没见加密...
（或许重启后文件会被加密？但是影子模式一重启就什么 ...

虚拟机好像可以？知乎有人说虚拟机也加密

显示全部楼层 · 发表于 2020-4-8 13:39:44

lovehhsw 发表于 2020-4-8 09:08
样本可能有误，萌新一枚，大佬勿喷，样本来源于网络，虚拟机暂时没装无法测试。dll的确很可疑。
刚刚搜了 ...

Kaspersky 没报毒

显示全部楼层 · 发表于 2020-4-8 13:40:40

居然上微博热搜了

9.27当时也没上啊

显示全部楼层 · 发表于 2020-4-8 13:49:35

诺顿是唯一一个可以"直接杀"的吗?好像有人说最开始卡巴BD也不行.

显示全部楼层 · 发表于 2020-4-8 13:54:40

病毒探索者发表于 2020-4-8 12:50
我个人觉得那个exe不是勒索，运行了也没见加密...
（或许重启后文件会被加密？但是影子模式一重启就什么 ...

那个exe有微软数签，卡巴信任。。。看图标应该是2007版本的word主程序

显示全部楼层 · 发表于 2020-4-8 13:55:25

xiaomantou 发表于 2020-4-8 13:49
诺顿是唯一一个可以"直接杀"的吗?好像有人说最开始卡巴BD也不行.

反正我觉得可信度不高。
个人觉得过卡巴带应用程序控制的SW和BDTS的ATD、Safe Files和Ransomware Remediation的可能性不大

显示全部楼层 · 发表于 2020-4-8 13:57:26

lovehhsw 发表于 2020-4-8 12:12
感谢测试，我也没测过，虚拟机还没下拿的vps，沙箱运行后，winword.exe自己结束掉了，好像我操作有误

那个exe有微软数签，卡巴信任。。。看图标应该是2007版本的word主程序

显示全部楼层 · 发表于 2020-4-8 13:58:48

xiaomantou 发表于 2020-4-8 13:49
诺顿是唯一一个可以"直接杀"的吗?好像有人说最开始卡巴BD也不行.

过扫描不奇怪过主防的话还是要拿出证据来

显示全部楼层 · 发表于 2020-4-8 14:05:08

lovehhsw 发表于 2020-4-8 09:08
样本可能有误，萌新一枚，大佬勿喷，样本来源于网络，虚拟机暂时没装无法测试。dll的确很可疑。
刚刚搜了 ...

那个exe有巨硬数签。。。应该是个正常文件吧

显示全部楼层 · 发表于 2020-4-8 14:09:31

本帖最后由 lovehhsw 于 2020-4-8 14:15 编辑

ATP_synthase 发表于 2020-4-8 13:57
那个exe有微软数签，卡巴信任。。。看图标应该是2007版本的word主程序

我感觉那个dll有问题，word挺老了这个版本， dll是不是什么漏洞借word的数字签名绕过杀软？毕竟dllVT好多报，这只是猜想

[病毒样本] #WannaRen #Ransomware