自制勒索

显示全部楼层 · 发表于 2023-8-22 18:29:05

G Data+McAfee 扫描执行 miss

显示全部楼层 · 发表于 2023-8-22 18:33:42

117054487 发表于 2023-8-22 18:12
你这勒索是不是哪里有bug 为什么会拉着我虚拟机的分区跳舞然后把分区清的就剩个c

是随机少量加密吗我忘d盘丢了30个图片就动了图里这些

显示全部楼层 · 发表于 2023-8-22 18:36:12

117054487 发表于 2023-8-22 18:33
是随机少量加密吗我忘d盘丢了30个图片就动了图里这些

下午随手写的屎山，切换盘符了原来遍历到的路径还没循环完，再等一会儿看看

显示全部楼层 · 发表于 2023-8-22 18:36:59

本帖最后由 117054487 于 2023-8-22 18:56 编辑

wwwab 发表于 2023-8-22 18:36
下午随手写的屎山，切换盘符了原来的路径还没遍历完，再等一会儿看看

在等就不动了很久之后会自退
一直循环

显示全部楼层 · 发表于 2023-8-22 20:29:05

金山毒霸

显示全部楼层 · 发表于 2023-8-22 20:36:30

本帖最后由 swizzer 于 2023-8-22 21:31 编辑

761773275 发表于 2023-8-22 17:43
BEST鎖庫被加密小部分

事实上这个样本触发的并不是简单的hash拉黑，而是一种特别的云检测，倒也不必特意锁库去排除这种检测。

原样本在运行弹出窗口后1s左右被云端检测到。加壳后的样本也同样会触发相同名称的云报法，同样也是运行弹出窗口后数秒被检测。

显示全部楼层 · 发表于 2023-8-22 20:42:26

761773275 发表于 2023-8-22 17:43
BEST鎖庫被加密小部分

BEST

全部回滚，无文件被加密

显示全部楼层 · 发表于 2023-8-22 20:42:48

swizzer 发表于 2023-8-22 20:36
事实上这个样本触发的并不是云拉黑，而是一种特别的云检测，倒也不必特意锁库去排除这种检测。

...

特別在哪

显示全部楼层 · 发表于 2023-8-22 20:49:07

本帖最后由 swizzer 于 2023-8-22 23:19 编辑

761773275 发表于 2023-8-22 20:42
特別在哪

我第二段说的可能不够清楚，补充一点。

Cloud.2报法简单修改hash就会被绕过，Cloud.4报法虽然可以抵御一定程度的Overlay，但是加壳也可以轻松绕过。而这个Cloud.8，我尝试加壳也无法绕过。并且这个样本中，Cloud.8检测是执行后触发，而另外两种是执行时触发。

断网双击，加密一个文件后被Cloud.8报法检测

云缓存是吧

重置虚拟机后断网测试，ATC在加密5个文件后响应，但并未触发勒索缓解。

显示全部楼层 · 发表于 2023-8-23 11:23:20

hhhq316 发表于 2023-8-22 16:31
win7运行一闪而过，没有文件加密
win10
EMSI FS

蜘蛛也称吉祥物了

[病毒样本] 自制勒索