Devos Ransomware x1 (3/31)

显示全部楼层 · 发表于 2022-4-4 14:52:38

swizzer 发表于 2022-4-2 18:11
各位双击的时候最好把样本解压出来然后运行那个AdobeIPCBroker.exe···
这样才能看到主防应对白加 ...

我昨天就上报咖啡了现在VT上咖啡依然没拉黑

显示全部楼层 · 发表于 2022-4-4 15:20:22

实时监控
已扫描：12387（已感染1）
最近一次感染: C:\Users\mr.chen\Desktop\迅雷下载\样本\1b9a300d4e882a59e4bb15f7aa7069df6cc48057d1f89a71fff6df4e70d483f1.exe
感染: Trojan.GenericFCA.Agent.35833 (引擎A), Win32.Trojan-Ransom.Phobos.FIF8PI (引擎B)

显示全部楼层 · 发表于 2022-4-4 16:48:46

anthonyqian 发表于 2022-4-4 11:46
80个文件。。。超过MD提交的上限了吧

微软似乎重新调整了设置，现在80个上报应该没有问题

显示全部楼层 · 发表于 2022-4-4 16:59:29

LSPD 发表于 2022-4-2 11:35
奇安信 miss文件被加密

你没有设置文件夹保护？顺便试下看看这个功能对勒索文件有用不？

显示全部楼层 · 发表于 2022-4-4 17:07:22

jiang410426 发表于 2022-4-4 16:59
你没有设置文件夹保护？顺便试下看看这个功能对勒索文件有用不？

没有设置

显示全部楼层 · 发表于 2022-4-6 08:41:16

本帖最后由 anthonyqian 于 2022-4-6 18:35 编辑

BD实验室在分析了解包后的所有文件后，回复如下：

Indeed, this is a signed ransomware sample, signed with Adobe certificate. For sample to work, you need to have all files next to AdobeIPCBroker.exe (25d5826c1136dde91cb8ed3b9319c50d). Signature details can be found here: \\cstsrv-main.bitdefender.biz\Write\iriciu\mevid\C94GSME8EK162.

在更新病毒库后，BD入库了ground文件（https://www.virustotal.com/gui/f ... 741613e35a86a2ad3e2），报Trojan.Agent.FUWD，和libcui40.dll，报Trojan.Agent.FUWC

@swizzer @wwwab

显示全部楼层 · 发表于 2022-4-6 08:51:21

anthonyqian 发表于 2022-4-6 08:41
BD实验室在分析了解包后的所有文件后，回复如下：

ground是payload，那个dll只是个loader

显示全部楼层 · 发表于 2022-4-6 08:52:11

Jirehlov1234 发表于 2022-4-6 08:51
ground是payload，那个dll只是个loader

确实如此

显示全部楼层 · 发表于 2022-4-6 08:53:25

本帖最后由 swizzer 于 2022-4-6 08:55 编辑

anthonyqian 发表于 2022-4-6 08:41
BD实验室在分析了解包后的所有文件后，回复如下：

看起来这个图片才是Payload

显示全部楼层 · 发表于 2022-4-6 08:59:35

swizzer 发表于 2022-4-6 08:53
看起来这个图片才是Payload

把ground再提交给各大厂商吧

[病毒样本] Devos Ransomware x1 (3/31)

本帖子中包含更多资源

本帖子中包含更多资源

评分