golang写了一个简单的勒索软件

显示全部楼层 · 发表于 2021-9-16 09:43:25

eset miss

显示全部楼层 · 发表于 2021-9-16 14:09:17

BD Trojan.GenericFCA.Agent.13758

显示全部楼层 · 发表于 2021-9-16 15:05:48

本帖最后由 00006666 于 2021-9-16 21:48 编辑

360 虚拟机双击测试

识别样本的行为，点击阻止操作后回滚被加密的文件。

(其实都不需要回滚，360拦截的时候原始文件都还在桌面上)

360虚拟机双击测试全过程录屏: https://pan.huang1111.cn/s/6gAuN

显示全部楼层 · 发表于 2021-9-16 17:35:18

emsisoft kill

显示全部楼层 · 发表于 2021-9-16 18:07:48

00006666 发表于 2021-9-16 15:05
360 虚拟机双击测试

识别样本的行为，点击阻止操作后回滚被加密的文件。

昨晚我也是在虚拟机测试的，一点反应也没有，什么防护都开了

显示全部楼层 · 发表于 2021-9-16 18:09:35

本帖最后由 00006666 于 2021-9-16 18:12 编辑

忆往昔° 发表于 2021-9-16 18:07
昨晚我也是在虚拟机测试的，一点反应也没有，什么防护都开了

360的勒索防护要联网才能生效，其实是一个多步的拦截，从样本一开始修改文件就进行监测和备份原始文件，到达拦截阈值后就挂起样本进程，点击阻止按钮后还原文件到原始目录中，虚拟机桌面的文件数量过少，可能就没到主防拦截的阈值，就不会进行拦截。

显示全部楼层 · 发表于 2021-9-16 18:41:45

00006666 发表于 2021-9-16 18:09
360的勒索防护要联网才能生效，其实是一个多步的拦截，从样本一开始修改文件就进行监测和备份原始文件， ...

刚才又测试了一下还是那样
https://52loli.lanzoui.com/iN5Kbu3vvni

显示全部楼层 · 发表于 2021-9-16 18:47:00

忆往昔° 发表于 2021-9-16 18:41
刚才又测试了一下还是那样
https://52loli.lanzoui.com/iN5Kbu3vvni

这我就不知道了，我用的是360卫士极速版第六期，昨天那个样本测试了好多遍，100%拦截。

显示全部楼层 · 发表于 2021-9-16 18:54:01

00006666 发表于 2021-9-16 18:47
这我就不知道了，我用的是360卫士极速版第六期，昨天那个样本测试了好多遍，100%拦截。

你再试试这个，没有改变任何代码，只是把一个函数名的首字母改小写了，编译后MD5就变了，因为刚才打开虚拟机用360扫描了一下昨晚那个直接报毒了
https://52loli.lanzoui.com/itg9yu3whvi

显示全部楼层 · 发表于 2021-9-16 19:23:32

忆往昔° 发表于 2021-9-16 18:54
你再试试这个，没有改变任何代码，只是把一个函数名的首字母改小写了，编译后MD5就变了，因为刚才打开虚 ...

360虚拟机双击测试

主防识别样本并回滚文件。

测试全过程录屏：https://pan.huang1111.cn/s/nl4Im

[病毒样本] golang写了一个简单的勒索软件