增强版白加黑样本，基本全过杀软，改文件名而非拓展名的勒索见过吗？

显示全部楼层 · 发表于 2022-2-19 12:18:41

AVG拉黑dll

上传了一些云沙箱

显示全部楼层 · 发表于 2022-2-19 14:11:38

5676 发表于 2022-2-19 12:18
AVG拉黑dll

上传了一些云沙箱

白加黑要带着dll上传分析

exe是白的，因为漏洞会执行黑dll，dll才是黑的

懂不懂

显示全部楼层 · 发表于 2022-2-19 15:59:14

“单独运行lnk都可以造成文件被加密”
不是的哦，你看到的下图是这个lnk打开了我的文档而已，里面是微步的诱饵文件，这个lnk本质上是调用explorer，然后参数部分传入了csrts.exe的路径，最后csrts.exe去加载了恶意的DLL文件Myou.dll，最终完成勒索加密。
对LNK右键属性看不全，是因为它的命令行太长了。。。

LNK文件属性截图：

显示全部楼层 · 发表于 2022-2-19 16:06:05

dsb2466 发表于 2022-2-19 15:59
“单独运行lnk都可以造成文件被加密”
不是的哦，你看到的下图是这个lnk打开了我的文档而已，里面是微步的 ...

LNK实际上是白文件？

显示全部楼层 · 发表于 2022-2-19 16:06:11

dsb2466 发表于 2022-2-19 15:59
“单独运行lnk都可以造成文件被加密”
不是的哦，你看到的下图是这个lnk打开了我的文档而已，里面是微步的 ...

本来就不是啊，处理掉cscrt.exe或者禁止updater进程联网都可以避免被加密

我也不明白为啥楼主要这么讲

显示全部楼层 · 发表于 2022-2-19 16:26:58

本帖最后由 swizzer 于 2022-2-19 16:32 编辑

NICO-COOPER 发表于 2022-2-19 16:06
本来就不是啊，处理掉cscrt.exe或者禁止updater进程联网都可以避免被加密我也不明白为啥楼主要这么 ...

智量把lnk入库为了Trojan.Downloader.Generic···好离谱···
@智量官方

显示全部楼层 · 发表于 2022-2-19 16:31:45

761773275 发表于 2022-2-19 16:06
LNK实际上是白文件？

LNK只是去调用explorer然后加载那个EXE而已，单独运营LNK不会中毒，但是杀软把这个LNK报毒也是没毛病的，正常lnk很少这么长的命令行

显示全部楼层 · 发表于 2022-2-19 16:33:28

NICO-COOPER 发表于 2022-2-19 16:06
本来就不是啊，处理掉cscrt.exe或者禁止updater进程联网都可以避免被加密我也不明白为啥楼主要这么 ...

因为他把微步上lnk的运行截图当作被勒索的文件了，实际上那个是微步的诱饵文件（文件名很乱而已）

显示全部楼层 · 发表于 2022-2-19 16:33:29

dsb2466 发表于 2022-2-19 15:59
“单独运行lnk都可以造成文件被加密”
不是的哦，你看到的下图是这个lnk打开了我的文档而已，里面是微步的 ...

这个软件是什么啊?我正想找一个看到它后面全部内容的方法

显示全部楼层 · 发表于 2022-2-19 16:34:01

？！发表于 2022-2-19 16:33
这个软件是什么啊?我正想找一个看到它后面全部内容的方法

010editor

https://www.sweetscape.com/010editor/

[病毒样本] 增强版白加黑样本，基本全过杀软，改文件名而非拓展名的勒索见过吗？

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分