自制勒索V3.0

显示全部楼层 · 发表于 2021-5-4 16:02:27

eset MSIL/Filecoder.AIE 特洛伊木马的变量

显示全部楼层 · 发表于 2021-5-4 16:09:05

秋日之殇发表于 2021-5-4 13:33
还是没防住，该催一下卡巴更新主防了。

卡巴kill了

显示全部楼层 · 发表于 2021-5-4 16:13:03

761773275 发表于 2021-5-4 14:05
过不了毛豆

sophos回滚一半那hmpa能防住吗

显示全部楼层 · 发表于 2021-5-4 16:15:33

wwwab 发表于 2021-5-4 16:09
卡巴kill了

拉黑了吧

显示全部楼层 · 发表于 2021-5-4 16:16:51

wwwab 发表于 2021-5-4 16:09
卡巴kill了

修改下md5就过了

显示全部楼层 · 发表于 2021-5-4 16:19:04

wwwab 发表于 2021-5-4 16:09
卡巴kill了

我上传opentip了，二十分钟左右就杀了，我还发邮件让卡巴更新主防定义了，卡巴回复请求正在处理

显示全部楼层 · 发表于 2021-5-4 16:19:56

wwwab 发表于 2021-5-4 15:36
你是啥版本，我之前测其他勒索的时候确实是这样，不知道你那个为什么这么先进

360啥时候也不是那样，360一直都是和卡巴类似的勒索防护，只不过比卡巴还做得好一些，监测到疑似勒索修改文件的时候开始备份文件，当点击拦截泡泡上阻止的时候恢复备份文件。

显示全部楼层 · 发表于 2021-5-4 16:20:44

vm001 发表于 2021-5-4 16:16
修改下md5就过了

紧急检测系统就是md5拉黑，等到下一次更新检测并入本地机器学习中就好了。

显示全部楼层 · 发表于 2021-5-4 16:24:06

vm001 发表于 2021-5-4 16:19
360啥时候也不是那样，360一直都是和卡巴类似的勒索防护，只不过比卡巴还做得好一些，监测到疑似勒索修改 ...

哪家回滚就是在更改前备份文件呀，360要是真的那么强就别让用户选择呀，搞智能点

显示全部楼层 · 发表于 2021-5-4 16:24:53

wwwab 发表于 2021-5-4 15:29
貌似并不是这样。360弹窗提示你的时候，病毒相当于就是卡那儿了，没加密也没修改。弹这个窗的时候，你的 ...

这个不是程序一开始修改文档360就直接给挂起进程的，这样误报会很多。而是由监测点和阈值，程序修改文件，被360监测到开始备份文件，达到疑似勒索阈值开始阻止，挂起进程，当用户点击阻止泡泡的时候结束进程并恢复备份文件。

[病毒样本] 自制勒索V3.0