用powershell加密的勒索软件

显示全部楼层 · 发表于 2024-7-10 10:55:38

本来想双击测试一下冰盾的，结果被Avast的Evo-gen给杀了，想了想算了，不去折腾了，你们双击吧。

显示全部楼层 · 发表于 2024-7-10 10:58:50

x-天秤座发表于 2024-7-10 10:55
本来想双击测试一下冰盾的，结果被Avast的Evo-gen给杀了，想了想算了，不去折腾了，你们双击吧。

看8楼

显示全部楼层 · 发表于 2024-7-10 11:18:44

essp输入解压密码就没了，文件都没见到

显示全部楼层 · 发表于 2024-7-10 11:47:34

wuming_bpnes 发表于 2024-7-10 04:00
我有上将BD，可斩此“毒”
双击后秒拦截啥都没加密到

不是，直接调用powershell自带的函数加密，看anyrun分析

显示全部楼层 · 发表于 2024-7-10 11:49:20

DisaPDB 发表于 2024-7-10 07:03
360 PowerShell内容识别

这个microsoft service creation里面存的是base64编码，解码之后就能看到用于加密的代码

显示全部楼层 · 发表于 2024-7-10 11:51:15

QVM360 发表于 2024-7-10 11:49
这个microsoft service creation里面存的是base64编码，解码之后就能看到用于加密的代码

其实我发上来的是已经解码完的（）

显示全部楼层 · 发表于 2024-7-10 11:56:01

昨晚发了邮件过去，没回我

显示全部楼层 · 发表于 2024-7-10 13:15:07

本帖最后由 YU2711 于 2024-7-10 13:34 编辑

Trend Micro
没有文件被加密

Avira

执行Miss

显示全部楼层 · 发表于 2024-7-10 14:03:02

本帖最后由 00006666 于 2024-7-10 14:12 编辑

syswow64 发表于 2024-7-10 09:11
SEP B杀，关闭启发后双击被加密

什么时候SEP能把Norton的DP学过去啊，这对勒索没有任何还手之力啊 ...

主要这玩意用的命令是很正常的，不是asmi会拦的，amsi主要是检查各种联网/下载之类的，它那种加密命令很接近一个普通用户的行为，除非像hips一样不让powershell进程启动，现在杀软往往都是靠AMSI，主防不怎么会监视这些系统应用的行为。

显示全部楼层 · 发表于 2024-7-10 14:18:00

腾讯电脑管家 1X

[病毒样本] 用powershell加密的勒索软件