【C#】自制勒索5.0 再次重构欢迎双击

显示全部楼层 · 发表于 2021-8-10 12:37:10

本帖最后由 henry217 于 2021-8-10 12:38 编辑

这次是我写的了，
为了降低被直接报壳的概率，我就没有加壳。

说一下这次的原理：首先随机生成一个key和一个向量，然后递归遍历桌面上所有文件，把文件读进内存流>>进行Aes加密>>写加密后的文件到原位置>>删除原来文件

在6.0的时候我可能就用RSA算法了，这次依旧是Aes对称加密

最后在桌面上生成key和向量（没错直接把密钥给出来了），放一个勒索信。

这次偷懒，没有做防止反复加密的工作。请勿实机重复运行，否则我也救不了你的文件（第二次生成的key会把第一次生成的覆盖掉）

显示全部楼层 · 发表于 2021-8-10 12:41:21

本帖最后由 anthonyqian 于 2021-8-11 01:21 编辑

诺顿在数小时后入库
文件名: 5.0.exe
威胁名称: Heur.AdvML.C

诺顿这次连WS.Reputation.1都没了

双击DP疯狂拦截，导致桌面上原文件都没被删除。不过产生了一堆加密后的文件

显示全部楼层 · 发表于 2021-8-10 12:41:43

本帖最后由 BitterLotus 于 2021-8-10 13:04 编辑

MD Trojan:Win32/Wacatac.B!ml
Kaspersky

This file is already detected by our internal bases:
HEUR:Trojan-Ransom.MSIL.Encoder.gen
Detection will be included in the next update.

显示全部楼层 · 发表于 2021-8-10 12:44:25

显示全部楼层 · 发表于 2021-8-10 12:51:47

anthonyqian 发表于 2021-8-10 12:41
诺顿这次连WS.Reputation.1都没了
双击DP疯狂拦截，导致桌面上原文件都没被删除。不过产生了一堆加 ...

下次我直接写进原来的文件

然后改名

显示全部楼层 · 发表于 2021-8-10 12:51:51

DP阻止
桌面文件被加密，但没有被删除，文档和图片文件夹则完全没事，EXE退出

显示全部楼层 · 发表于 2021-8-10 12:53:16

761773275 发表于 2021-8-10 12:51
DP阻止
桌面文件被加密，但没有被删除，文档和图片文件夹则完全没事，EXE退出

事实证明 sonar不会拦截勒索

显示全部楼层 · 发表于 2021-8-10 12:53:47

appcheck
双击后桌面加密了七个文件，随后拦截并全部回滚

显示全部楼层 · 发表于 2021-8-10 13:06:41

本帖最后由 ANY.LNK 于 2021-8-12 15:46 编辑

Microsoft Defender：入库杀Ransom:MSIL/Cryptolocker.PAD!MTB 无需双击

显示全部楼层 · 发表于 2021-8-10 13:09:09

本帖最后由 00006666 于 2021-8-10 16:00 编辑

360 扫描miss 上传安全大脑后被安全大脑中的云端引擎识别样本

虚拟机双击测试详见19楼

[病毒样本] 【C#】自制勒索5.0 再次重构欢迎双击

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块

[病毒样本] 【C#】自制勒索5.0 再次重构 欢迎双击

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块

[病毒样本] 【C#】自制勒索5.0 再次重构欢迎双击