Ransomware x4

显示全部楼层 · 发表于 2022-6-4 12:59:46

lvseqiji 发表于 2022-6-4 12:53
沙箱里跑应该会阻碍行为监控，虚拟机跑最好

跑了也是没反应

显示全部楼层 · 发表于 2022-6-4 13:00:19

00006666 发表于 2022-6-4 12:57
跟卡巴一样，不回滚压缩包、快捷方式、EXE等，如果被加密了那就是被加密了。

卡巴拦截点非常靠前，基本勒索一加密就拦截了

显示全部楼层 · 发表于 2022-6-4 13:01:09

00006666 发表于 2022-6-4 12:57
跟卡巴一样，不回滚压缩包、快捷方式、EXE等，如果被加密了那就是被加密了。

图片也没有回滚诶，这次寄得很完全，几乎没有有效的拦截。

显示全部楼层 · 发表于 2022-6-4 13:04:07

aboringman 发表于 2022-6-4 13:01
图片也没有回滚诶，这次寄得很完全，几乎没有有效的拦截。

DOC/DOCX这类文档情况如何？

显示全部楼层 · 发表于 2022-6-4 13:04:27

本帖最后由 lvseqiji 于 2022-6-4 13:09 编辑

anthonyqian 发表于 2022-6-4 12:59
跑了也是没反应

Avira Free报Drop.Win32.FakeProgSelfRename.13830 ，但是好像没拦住加密不知道pro版有勒索防护会不会有用
Edit：好像后几个又不报了，神秘

显示全部楼层 · 发表于 2022-6-4 13:05:01

00006666 发表于 2022-6-4 13:04
DOC/DOCX这类文档情况如何？

我看的时候应该是没有被动过，我是有在桌面放了几个文档

显示全部楼层 · 发表于 2022-6-4 13:07:39

aboringman 发表于 2022-6-4 13:05
我看的时候应该是没有被动过，我是有在桌面放了几个文档

不知道是不是这个样本不加密文档？@anthonyqian

如果不加密文档，根本就不会触发360勒索保护……

显示全部楼层 · 发表于 2022-6-4 13:10:40

lvseqiji 发表于 2022-6-4 13:04
Avira Free报Drop.Win32.FakeProgSelfRename.13830 ，但是好像没拦住加密不知道pro版有勒索防护会不会有 ...

进程被终止了吗

显示全部楼层 · 发表于 2022-6-4 13:11:43

00006666 发表于 2022-6-4 13:07
不知道是不是这个样本不加密文档？@anthonyqian

如果不加密文档，根本就不会触发360勒索保护……

加密的。我看到卡巴的回滚纪录里面有docx加密后被恢复的纪录

显示全部楼层 · 发表于 2022-6-4 13:15:54

anthonyqian 发表于 2022-6-4 13:10
进程被终止了吗

终止隔离了，又测了一遍，好像有某种触发条件，运行目录下加密后的文件没能写到磁盘就被干掉了。

[病毒样本] Ransomware x4