Ransom.DiskParasite

显示全部楼层 · 发表于 2020-4-13 00:34:29

https://s.tencent.com/research/report/940.html

DiskParasite病毒加密文件前，会通过磁盘信息来判断是否在虚拟机环境，如果是，就不加密。
该病毒加密文件前，会检测以下注册表位置中的磁盘信息，当其中包含VMware，VBox相关信息时，则直接退出，不执行文件加密逻辑。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Disk\Enum

所以把实机中的这项导出，再复制到虚拟机中导入就能跑出加密行为了

显示全部楼层 · 发表于 2020-4-13 06:24:26

ESET
Win32/Filecoder.OAY 特洛伊木马的变种

显示全部楼层 · 发表于 2020-4-13 08:03:23

盒子

显示全部楼层 · 发表于 2020-4-13 08:05:58

显示全部楼层 · 发表于 2020-4-13 08:06:41

微点

显示全部楼层 · 发表于 2020-4-13 10:32:59

火绒 HEUR:Ransom/LockFile.a

显示全部楼层 · 发表于 2020-4-13 10:34:53

文件名: vvv.exe
威胁名称: Heur.AdvML.B完整路径: D:\test\123\vvv.exe
____________________________
____________________________
在电脑上
2020/4/13 ( 10:32:38 )
上次使用时间
2020/4/13 ( 10:34:38 )
启动项
否
已启动
否
威胁类型: 启发式病毒。根据恶意软件启发式技术检测威胁。
____________________________
vvv.exe 威胁名称: Heur.AdvML.B
定位
极少用户信任的文件
Norton 社区中有不到 5 名用户使用了此文件。
极新的文件
该文件已在不到 1 周前发行。
高
此文件具有高风险。
____________________________
来源: 外部介质
源文件:
vvv.exe
____________________________
文件操作
文件: D:\test\123\ vvv.exe 已删除
____________________________
文件指纹 - SHA:
445fa7574ba7ff0fbd21ce9ea590838c98a9e289f34c89694575ec1de291dc68
文件指纹 - MD5:
aa1e3414f490ad8107a372f4e63d88c6

复制代码

显示全部楼层 · 发表于 2020-4-13 10:43:21

智量
Heur.ML.PE.A

显示全部楼层 · 发表于 2020-4-13 10:56:45

卡巴

13.04.2020 10.56.39;检测到的对象 ( 文件 ) 已删除;Z:\vvv\vvv.exe;WinRAR 压缩文件管理器;Z:\vvv\vvv.exe;04/13/2020 10:56:39;UDS:Trojan-Ransom.Win32.Crypmodng

显示全部楼层 · 发表于 2020-4-13 13:24:14

BD
c:\users\ljsjo\desktop\vvv.exe 是恶意软件 Gen:Heur.Ransom.Imps.3

[病毒样本] Ransom.DiskParasite

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源