Ransom.HMV (2023-01-26)

显示全部楼层 · 发表于 2023-1-26 21:34:51

本帖最后由 anxiety520 于 2023-1-26 22:43 编辑

KIS UDS:Trojan-Ransom.Win32.Encoder PDM:Trojan.Win32.Generic 双击有惊喜

回滚列表：

事件: 注册表值已恢复
对象类型: 注册表键值
对象路径: HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system
对象名称: enablelua

复制代码

显示全部楼层 · 发表于 2023-1-26 21:38:36

360 kill all

显示全部楼层 · 发表于 2023-1-26 21:38:42

360

显示全部楼层 · 发表于 2023-1-26 21:42:33

anxiety520 发表于 2023-1-26 21:34
KIS UDS:Trojan-Ransom.Win32.Encoder PDM:Trojan.Win32.Generic 双击有惊喜

疯狂回滚中。。。已经弹了好几次要求高级清除的窗口了。。。样本是不是还修改了UAC？

显示全部楼层 · 发表于 2023-1-26 21:51:22

本帖最后由 anxiety520 于 2023-1-26 22:04 编辑

anthonyqian 发表于 2023-1-26 21:42
疯狂回滚中。。。已经弹了好几次要求高级清除的窗口了。。。样本是不是还修改了UAC？

虚拟机的UAC被我关了，没看出来

样本顽固，高级清除之后才被解决
送了个壁纸，以及勒索特有的鼠标左右按键输出相反（

复制代码

显示全部楼层 · 发表于 2023-1-26 21:53:17

EMSI

2023/1/26 21:51:45
行为监控检测可疑行为 "HiddenInstallation" 来自于 C:\Users\ADog\Desktop\HMV\HMV.bat (SHA1: 3F6514C9D8CE8DCB27102ED736CFFA6FC4FF238A)
2023/1/26 21:51:52
通知： "在以下程序中发现了可疑行为： C:\Users\ADog\Desktop\HMV\HMV.bat" .
2023/1/26 21:51:56
用户 "DESKTOP-NFPGT4Q\ADog" 点击 "好的"

复制代码

2023/1/26 21:52:00
恶意软件 "Behavior.HiddenInstallation" 来自于 "C:\Users\ADog\Desktop\HMV\HMV.bat" 已隔离。核心

复制代码

显示全部楼层 · 发表于 2023-1-26 21:56:07

本帖最后由 761773275 于 2023-1-26 22:01 编辑

SOPHOS 执行miss

显示全部楼层 · 发表于 2023-1-26 22:02:01

本帖最后由 anthonyqian 于 2023-1-27 07:47 编辑

ESET

Scan missed

ESET LiveGuard detected.
——————
HMV.bat - BAT/Agent.PTY 特洛伊木马

显示全部楼层 · 发表于 2023-1-26 22:05:14

BD牛逼啊，ATC干掉回滚

[病毒样本] Ransom.HMV (2023-01-26)