自制NoobRansomware

显示全部楼层 · 发表于 2021-3-21 11:11:16

本帖最后由 Virus4 于 2021-3-21 22:47 编辑

只会跳诱饵其他都很Noob的勒索。

测试了一部分双击（过文件监控）
对带诱饵的国内杀软防勒索性能简单测试_国内杀毒软件_安全区卡饭论坛 - 互助分享 - 大气谦和! (kafan.cn)

楼下置顶有大佬分流
链接：https://pan.baidu.com/s/1SGviFAevM5Jvx0FQo7lqVQ
提取码：kfan

请勿实机打开

显示全部楼层 · 发表于 2021-3-21 11:21:59

本帖最后由秋日之殇于 2021-3-21 11:37 编辑

卡巴双击杀，但是有5个文件已被加密（我这边未触发回滚）
分流：https://wws.lanzous.com/i20xbn5my6f

显示全部楼层 · 发表于 2021-3-21 11:19:45

诺顿扫描不报，分级未知

显示全部楼层 · 发表于 2021-3-21 11:23:08

加强模式永远滴神

(过了DeepScreen)

显示全部楼层 · 发表于 2021-3-21 11:24:27

过红伞、智量扫描

显示全部楼层 · 发表于 2021-3-21 11:30:08

FS 扫描miss 在想要不要开影子模式双击试试看

显示全部楼层 · 发表于 2021-3-21 11:33:11

本帖最后由企稳向好于 2021-3-21 11:35 编辑

趋势（主防调到中级）：
未触发勒索防护，加密第三个文件时被“防止未经授权的更改”拦截，已加密的两个文件无法恢复。
就这个样本而言，差不多和毒霸一个水平

调到高就信誉杀了（HEU_AEGIS_HttpDownloadChecker）

显示全部楼层 · 发表于 2021-3-21 11:33:51

Emsi扫描miss 稍后尝试实机双击

显示全部楼层 · 发表于 2021-3-21 11:34:30

企稳向好发表于 2021-3-21 11:33
趋势：
未触发勒索防护，加密第三个文件时被“防止未经授权的更改”拦截，已加密的两个文件无法恢复。
就 ...

可以了，主要差一手回滚

显示全部楼层 · 发表于 2021-3-21 11:39:02

本帖最后由企稳向好于 2021-3-21 11:45 编辑

Virus4 发表于 2021-3-21 11:34
可以了，主要差一手回滚

这个样本没触发趋势的勒索防护，也就不可能被回滚。只有被趋势判定为勒索软件，才会回滚被趋势备份的文件。
而防止更改的处理更潦草，只会终止进程，连样本源文件都不删的。除非触发了AEGIS，出现明确的主防报法（AEGIS/BM）才可能跑修复流程（而这个流程也不一定涉及回滚文件，更多的是靠“关联扫描”删除衍生物和靠”DRP（损害恢复特征码）“修复系统。

即使触发了勒索防护，从测试来看，趋势的回滚文件本来也没多可靠，一是常常只能回滚一小部分，而是有时候回滚的文件已经被破坏，还是打不开。

个人觉得，趋势的勒索防护已经不是当初WannaCry时期的第一梯队水平了。

[病毒样本] 自制NoobRansomware

评分

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分