Ransomware crypt x1

显示全部楼层 · 发表于 2022-8-27 11:00:32

anthonyqian 发表于 2022-8-27 10:53
doc txt jpg

你换KIS或者KFA试试看？我这边的文件支持的全回滚了

显示全部楼层 · 发表于 2022-8-27 11:07:11

anxiety520 发表于 2022-8-27 11:00
你换KIS或者KFA试试看？我这边的文件支持的全回滚了

不试了回滚本来就不一定100%能回滚干净的

显示全部楼层 · 发表于 2022-8-27 11:13:11

诺顿扫描miss

显示全部楼层 · 发表于 2022-8-27 11:21:20

迈克菲kill

显示全部楼层 · 发表于 2022-8-27 11:43:20

补两张ESET的图

显示全部楼层 · 发表于 2022-8-27 12:34:03

Shake2333 发表于 2022-8-27 11:43
补两张ESET的图

罕见的Hips

显示全部楼层 · 发表于 2022-8-27 12:39:50

本帖最后由 GreatMOLA 于 2022-8-27 12:40 编辑

发现一个有意思的点
样本直接用Avira扫描或者只在有Avira的系统中双击，Avira是miss的
但是装了McAfee之后双击被McAfee隔离之后，Avira就能在McAfee的隔离区中查到并删除此样本。

显示全部楼层 · 发表于 2022-8-27 12:48:02

GreatMOLA 发表于 2022-8-27 12:39
发现一个有意思的点
样本直接用Avira扫描或者只在有Avira的系统中双击，Avira是miss的
但是装了McAfee之 ...

可能McAfee对隔离的威胁的加密压缩方式正好触发了红伞的特征

改一下hash，试试看咖啡的RP啊

显示全部楼层 · 发表于 2022-8-27 13:03:33

Norton 双击 @aoqiwsw

显示全部楼层 · 发表于 2022-8-27 13:04:35

改hash
McAfee报法从JTI变RP，但是直到加密1500+文件后才拦截。原样本也未删除。。。
而可笑的是，我第二次双击，又不报了。第三次双击仍然是加密大量文件后报RP，但这次删除了样本文件。

[病毒样本] Ransomware crypt x1