Java自制勒索样本测试

显示全部楼层 · 发表于 2021-2-26 18:09:11

入沙是不是就相当于拦截成功了？

显示全部楼层 · 发表于 2021-2-26 18:41:42

hsks 发表于 2021-2-26 10:11
记得没错的话360只对修改敏感文档（图片，文档之类的）才有反应，不然即使加密了也不吭一声
之前某 ...

我桌面放的文件就是图片

火绒不抱什么希望

显示全部楼层 · 发表于 2021-2-26 18:42:31

knight0756 发表于 2021-2-26 08:39
小心清零盘, 建议不买oem的, 买intel原厂的. 然后升级固件, 如果没问题, 基本上就没问题了.

确实，清零盘问题越来越严重了，Intel都快把工厂卖掉了。我几年前买的非OEM的S3520，先用着吧

显示全部楼层 · 发表于 2021-2-26 18:44:21

munsimli 发表于 2021-2-26 13:28
近期虛擬機多在玩fsp，一開始總覺得幾家主流廠商都有資料夾防護了，
為啥卡巴不做，結果幾個樣本下來， ...

之前BD也有锁文件夹防勒索，这种功能很死板，用户体验不好，有误报，后来BD就用自动防勒索模块把它替换掉了。

不过锁文件夹也防不住这个确实有点匪夷所思。

显示全部楼层 · 发表于 2021-2-26 18:45:38

HEMM 发表于 2021-2-26 14:01
WD的那玩意儿排除也需要指令输入，简直和游戏作弊码一样，它要真想让人用就直接开放界面按钮.....
...

规则拦截漏洞那不跟IPS差不多了，这功能就没啥意思了

显示全部楼层 · 发表于 2021-2-26 18:46:49

喀反发表于 2021-2-26 14:22
我上次也是被勒索加密了，还开了360的勒索赔付，联系360的技术人员后他们那边开核晶可以拦截，但是我电脑 ...

现在还用虚拟化支持防护的杀软几乎都没有了，不知道360的核晶有啥重要作用

就算你开了核晶，他们还会有新的理由的。

显示全部楼层 · 发表于 2021-2-26 18:47:58

henry217 发表于 2021-2-26 17:53
诺顿有些略慌啊

反正我样本区点了一个月诺顿之后，已经不敢装这个杀软了

显示全部楼层 · 发表于 2021-2-26 18:48:30

温馨小屋发表于 2021-2-26 18:47
反正我样本区点了一个月诺顿之后，已经不敢装这个杀软了

这是刚才样本区的勒索

运行了大概一分钟才回滚

挺好

文件名: 1.exe
威胁名称: SONAR.Heuristic.170完整路径: 不可用

____________________________

____________________________

在电脑上
2021/2/26 ( 18:42:31 )

上次使用时间
2021/2/26 ( 18:42:31 )

启动项
否

已启动
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________

1.exe 威胁名称: SONAR.Heuristic.170
定位

极少用户信任的文件
Norton 社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

____________________________

来源: 外部介质

源文件:
WinRAR.exe

创建的文件:
1.exe

____________________________

文件操作

文件: c:\Users\henry\Desktop\ 1.exe 威胁已删除
文件: c:\Users\henry\Desktop\ 1.7z 威胁已删除
文件: c:\Users\henry\Desktop\ Artemon.txt 威胁已删除
文件: c:\Users\henry\Desktop\ a.mischamyfriend 威胁已删除
文件: c:\Users\henry\Desktop\ b.petyamyfriend 威胁已删除
文件: c:\Users\henry\Desktop\ exeexeexe1.artemontrojan 威胁已删除
文件: c:\Users\henry\Desktop\ encrypt.ransom 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-3520252794-2247337388-1740164364-1001\ HKEY_LOCAL_MACHINE, 注册表配置单元: 64 位威胁已删除
____________________________

系统设置操作

事件: 浏览器进程启动 (执行者 c:\users\henry\desktop\1.exe, PID:4344) 未采取操作
事件: 进程启动: c:\users\henry\desktop\ 1.exe, PID:4344 (执行者 c:\users\henry\desktop\1.exe, PID:4344) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

新勒索回滚成功了

显示全部楼层 · 发表于 2021-2-26 18:48:30

360牛逼发表于 2021-2-26 18:09
入沙是不是就相当于拦截成功了？

入沙肯定能拦截成功，但是也会对使用造成很多不便

显示全部楼层 · 发表于 2021-2-26 18:49:34

henry217 发表于 2021-2-26 18:48
这是刚才样本区的勒索

运行了大概一分钟才回滚

确实能170杀一部分，不过miss掉的也不少，尤其是PS1勒索

[讨论] Java自制勒索样本测试