增强版白加黑样本，基本全过杀软，改文件名而非拓展名的勒索见过吗？

Eset小粉絲

swizzer 发表于 2022-2-19 16:26
智量把lnk入库为了Trojan.Downloader.Generic···好离谱···
@智量官方

LNK > csrts.exe > Myou.dll > 恶意行为

没后面那两个文件，单独运行LNK没恶意的。。

？！

dsb2466 发表于 2022-2-19 16:34
010editor

https://www.sweetscape.com/010editor/

微步上说它创造了假的explorer，这个属实吗？快捷方式几十kb内容不可能只是作跳转用吧

swizzer

Eset小粉絲 发表于 2022-2-19 16:35
LNK > csrts.exe > Myou.dll > 恶意行为

没后面那两个文件，单独运行LNK没恶意的。。

所以我说离谱啊···更何况这lnk也不是Downloader···

swizzer

？！ 发表于 2022-2-19 16:35
微步上说它创造了假的explorer，这个属实吗？快捷方式几十kb内容不可能只是作跳转用吧

这个lnk指向的就是explorer

它的作用还真就只是跳转···

Eset小粉絲

swizzer 发表于 2022-2-19 16:36
所以我说离谱啊···更何况这lnk也不是Downloader···

https://bbs.kafan.cn/forum.php?m ... amp;fromuid=1046314

可能是这原因吧？

swizzer

Eset小粉絲 发表于 2022-2-19 16:38
https://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=2227601&pid=50433134&fromuid=104631 ...

我觉得是自动机分拣失误

dsb2466

？！ 发表于 2022-2-19 16:35
微步上说它创造了假的explorer，这个属实吗？快捷方式几十kb内容不可能只是作跳转用吧

那个是微步自己的规则写的有问题

几十KB是因为在命令行那里填充了很长一截空白

wwwab

swizzer 发表于 2022-2-19 16:40
我觉得是自动机分拣失误

有一次智量把一个mbrkiller报成了Adware.Generic，智量官方也是跟我说是可能是自动机分错了

NICO-COOPER

Eset小粉絲 发表于 2022-2-19 16:35
LNK > csrts.exe > Myou.dll > 恶意行为

没后面那两个文件，单独运行LNK没恶意的。。

不知道updater联网进程处在哪一步？应该是在恶意行为之前吧，手动禁掉联网请求好像也可以避免被加密
我昨天测试的时候，SSF拦截了联网请求，就没有出现加密行为

？！

NICO-COOPER 发表于 2022-2-19 16:44
不知道updater联网进程处在哪一步？应该是在恶意行为之前吧，手动禁掉联网请求好像也可以避免被加密
我 ...

只有lnk和联网两个条件，没有其他文件，能实现加密吗？