#Magniber msi 1X (2022-06-05-01)

心醉咖啡

毒霸

1. 扫描时间：[2022-06-05 10:11:36]
   
2. 扫描用时：[00:00:06]
   
3. 扫描类型：自定义查杀
   
4. 扫描文件总数：1
   
5. 扫描速度：1文件/秒
   
6. 发现威胁：1个
   
7. 清除威胁：1个
   
8. =============================================
   
9. [2022-06-05 10:11:52]
   
10. 威胁：e:\浏览器下载\fdfd20\fdfd20.msi/<a:compound>/binary.iynowh6gty4
    
11. 类型：win32.troj.undef.(kcloud)
    
12. 处理方式：删除
    
13. 
    

复制代码

Shake2333

McAfee 双击杀衍生物

LSPD

360（无核晶） 双击
文件被加密

开开心心卖手机

Avast kill，今天的三个样本均报Other:Malware-gen [Trj]，属于拉黑md5，和老板诺顿的Trojan.Gen.X异曲同工
随后修改md5后Avast监控和扫描均miss，同时本次双击测试前我去设置里面将勒索软件防护调至严格模式



双击样本，触发勒索防护，迅速点击阻止，桌面文件未被加密



另外两个样本双击后未弹框，未加密文件，猜测应该是因为Avast阻止了sihost.exe，而样本并未注入到新程序（？）



后经测试，如果将勒索软件防护保持默认的智能模式，则无法拦截加密行为，因此个人建议如短期使用Avast应对此类勒索的可将勒索软件防护调至严格模式（但会影响正常程序使用如我上面截图的7-zip）

846472713

ESET 3.0

Jirehlov1234

开开心心卖手机 发表于 2022-6-5 03:10
Avast kill，今天的三个样本均报Other:Malware-gen [Trj]，属于拉黑md5，和老板诺顿的Trojan.Gen.X异曲同工 ...

不知道这个受许可的应用程序什么意思，如果包含explorer.exe的话，还是有可能寄的

11111111111445

安天miss

开开心心卖手机

Jirehlov1234 发表于 2022-6-5 11:50
不知道这个受许可的应用程序什么意思，如果包含explorer.exe的话，还是有可能寄的

受许可那个意思就是触发勒索防护之后点允许，相当于进勒索防护白名单了。
我觉得最大的问题还是这个模式啥都问，会影响正常使用，而且假设我正常使用的时候允许了一个系统程序，勒索进来后正好注入先前这个就GG了
目前来看还是卡巴等这种通杀特征相对靠谱

aboringman

LSPD 发表于 2022-6-5 10:37
360（无核晶） 双击
文件被加密

你的双击还是有作用的（也可能是别人暗地里双击没有放结果），本体估计是被上传了，现已寄

1. D:\test\fdfd20.msi        Win64/Ransom.Generic.HnoASswA        已删除

复制代码

LSPD

aboringman 发表于 2022-6-5 12:25
你的双击还是有作用的（也可能是别人暗地里双击没有放结果），本体估计是被上传了，现已寄

双击完样本自动传云，拉黑了