自制勒索V3.0

henry217

hk2005 发表于 2021-5-4 20:53
HEUR:Trojan-Ransom.MSIL.Encoder.gen

这是卡巴报毒？

看起来已经启发入库了

sichuanwenxuan

yjwfdc

没有文件被加密


2021/5/4 20:01:51    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Pictures\desktop.ini    阻止    [文件]*:\*   
2021/5/4 20:01:51    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\3Wa7m8gYH\3Wa7m8gYH.doc    阻止    [文件组]f999_低优先_询问 -> [文件]*; *.doc   
2021/5/4 20:01:52    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Music\desktop.ini    阻止    [文件]*:\*   
2021/5/4 20:01:52    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Videos\desktop.ini    阻止    [文件]*:\*   
2021/5/4 20:01:52    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\00 WinRAR_5.70_x86_SC.exe    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:52    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\3Wa7m8gYH\3Wa7m8gYH.jpg    阻止    [文件]*:\*   
2021/5/4 20:01:52    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\0激活批处理MAS_1.4_AIO_zh-CN.cmd    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:53    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\3Wa7m8gYH\3Wa7m8gYH.sql    阻止    [文件]*:\*   
2021/5/4 20:01:53    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\360安全卫士.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:53    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\3Wa7m8gYH\3Wa7m8gYH.xls    阻止    [文件组]f999_低优先_询问 -> [文件]*; *.xls   
2021/5/4 20:01:53    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\360极速浏览器.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:54    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\3Wa7m8gYH\ZWa7m8gYH.mdb    阻止    [文件]*:\*   
2021/5/4 20:01:54    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\360软件管家.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:54    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\Tencent Files\All Users\QQ\History.db    阻止    [文件]*:\*   
2021/5/4 20:01:54    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\desktop.ini    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:54    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\Tencent Files\All Users\QQ\Perfre.db    阻止    [文件]*:\*   
2021/5/4 20:01:55    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\DirectX_Jun2010_redist - 快捷方式.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:55    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\Tencent Files\All Users\QQ\Registry.db    阻止    [文件]*:\*   
2021/5/4 20:01:55    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\QQ影音.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:55    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\WeChat Files\All Users\config\c9d52eb5.ini    阻止    [文件]*:\*   
2021/5/4 20:01:55    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\WPS 2019.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:56    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\WeChat Files\All Users\config\config.data    阻止    [文件]*:\*   
2021/5/4 20:01:56    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\新建日记本文档.txt    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:56    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\ZWa7m8gYH\3Wa7m8gYH.doc    阻止    [文件组]f999_低优先_询问 -> [文件]*; *.doc   
2021/5/4 20:01:56    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\爱奇艺.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:56    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\ZWa7m8gYH\3Wa7m8gYH.jpg    阻止    [文件]*:\*   
2021/5/4 20:01:57    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\爱奇艺万能联播.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:57    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\ZWa7m8gYH\3Wa7m8gYH.sql    阻止    [文件]*:\*   
2021/5/4 20:01:57    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\电脑速度卫士 活动木马检测 v3.9 自用 - 快捷方式.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:57    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\ZWa7m8gYH\3Wa7m8gYH.xls    阻止    [文件组]f999_低优先_询问 -> [文件]*; *.xls   
2021/5/4 20:01:57    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\电脑速度卫士3.07a.exe.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:58    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\ZWa7m8gYH\ZWa7m8gYH.mdb    阻止    [文件]*:\*   
2021/5/4 20:01:58    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\自进化杀毒软件25-1.exe.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:58    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Documents\desktop.ini    阻止    [文件]*:\*   
2021/5/4 20:01:58    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\解密小工具.exe    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:01:59    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\酷狗音乐.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:02:00    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Users\pydn2020\Desktop\飘逸电脑速度卫士.lnk    阻止    [应用程序]??\?* -> [文件]?:\users\*\desktop\*   
2021/5/4 20:02:03    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Esl\AiodLite.dll    阻止    [文件组]f10000_所有执行文件 -> [文件]*; *.dll   
2021/5/4 20:02:04    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\AIR\nppdf32.CHS    阻止    [文件]*:\*   
2021/5/4 20:02:04    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\AIR\nppdf32.dll    阻止    [文件组]f10000_所有执行文件 -> [文件]*; *.dll   
2021/5/4 20:02:05    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Browser\nppdf32.CHS    阻止    [文件]*:\*   
2021/5/4 20:02:05    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Browser\nppdf32.dll    阻止    [文件组]f10000_所有执行文件 -> [文件]*; *.dll   
2021/5/4 20:02:06    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\IDTemplates\CHS\AdobeID.pdf    阻止    [文件]*:\*   
2021/5/4 20:02:06    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\IDTemplates\CHS\DefaultID.pdf    阻止    [文件]*:\*   
2021/5/4 20:02:06    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\IDTemplates\ENU\AdobeID.pdf    阻止    [文件]*:\*   
2021/5/4 20:02:07    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\IDTemplates\ENU\DefaultID.pdf    阻止    [文件]*:\*   
2021/5/4 20:02:07    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Javascripts\JSByteCodeWin.bin    阻止    [文件]*:\*   
2021/5/4 20:02:07    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Legal\CHS\eula.ini    阻止    [文件]*:\*   
2021/5/4 20:02:07    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Legal\CHS\license.html    阻止    [文件]*:\*   
2021/5/4 20:02:08    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Legal\ENU\eula.ini    阻止    [文件]*:\*   
2021/5/4 20:02:08    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Legal\ENU\license.html    阻止    [文件]*:\*   
2021/5/4 20:02:10    d:\新建文件夹\自制勒索v3.0.exe    删除文件    C:\Program Files\Adobe\Reader 11.0\Reader\Locale\zh_CN\Services\DEXEchoSign.asfx    阻止并结束进程    [文件]*:\*   

henry217

温馨小屋 发表于 2021-5-4 18:24
反编译了一下你的勒索，原来你的多线程是每个线程加密一个目录啊，本来想看看你怎么搞定重复加密问题的[:15 ...

你这个是.Net Reflector吧

我还特地查了一下

比对了ui

温馨小屋

henry217 发表于 2021-5-4 20:51
啊这

下次该加个壳了

可能反编译的时候出现了点问题，不过不影响理解

温馨小屋

anthonyqian 发表于 2021-5-4 20:44
可能这500多个文件不在DP保护的范围里面～
我记得设置里面可以选DP保护的文件夹和文件类型的

DP并不只是杀在保护范围之内的东西，之前软件释放EXE也能杀，其他目录的可疑操作一样会管。

温馨小屋

henry217 发表于 2021-5-4 20:57
你这个是.Net Reflector吧

我还特地查了一下

是的，我记得我初中学C#的时候学过这类语言的反编
比cpp的伪代码好看多了

yjwfdc

yjwfdc 发表于 2021-5-4 20:57
没有文件被加密

md hips

yjwfdc

henry217 发表于 2021-5-4 20:57
你这个是.Net Reflector吧

我还特地查了一下

md hips

Jerry.Lin

Trojan-Ransom.Henry217

哈哈哈你的名字入库了
IKARUS命名可以的