金蝶服务器抓到的勒索样本Ransom/LockFile.n

显示全部楼层 · 发表于 2026-4-27 17:51:04

显示全部楼层 · 发表于 2026-4-27 18:37:25

Norton kill

显示全部楼层 · 发表于 2026-4-27 18:46:40

显示全部楼层 · 发表于 2026-4-27 18:48:36

Hello,

The detection is correct:
Trojan-Ransom.Win32.Gen.cgib

Best regards, Pavel Sinenko, Senior Malware Analyst

显示全部楼层 · 发表于 2026-4-27 18:58:26

本帖最后由 hsks 于 2026-4-27 19:01 编辑

ndd200 发表于 2026-4-27 17:50
这文章里的情况，和我碰到的可能不一样。
我这边的服务器上，甚至还有金蝶自己的日志，下载、执行这个勒 ...

（360没有公布详尽的攻击链，以下这些是通过已有信息进行推测的）
根据360的说法，推测是KSCloudPlatform2X64.exe存在漏洞，导致它被黑客利用，操纵该组件下载并执行勒索病毒。
如果金蝶的升级服务器真的被劫持，那这起事件就升级为供应链攻击，考虑到360的报告是3月19号发的，如果真的是服务器出问题，那么这就会引起官方注意或者被安全厂商上报至金蝶官方，这样一来，通过被攻陷的官方服务器传播勒索就不太可能，除非金蝶不作为，迟迟不修或者草台班子导致二次攻陷。
简单来说：勒索只是最后一步，在这之前你的服务器可能就应该被黑客“踩点”然后利用漏洞展开攻击行动了，更建议你看看能不能查到在下载执行勒索这个行为之前有没有出现其它的可疑行为，

显示全部楼层 · 发表于 2026-4-27 18:59:54

emsi

显示全部楼层 · 发表于 2026-4-27 19:01:06

ESET已经入库，解压直接删除

显示全部楼层 · 发表于 2026-4-27 19:03:39

拦截“修改收藏夹”后结束进程：

中途准确识别到了行为，但弹出提醒弹窗后，未能及时采取有效措施，样本仍在继续加密，加密完成后样本正常退出，文件全部被加密：

测试环境下无任何阻止/阻断/提醒：

显示全部楼层 · 发表于 2026-4-27 22:30:52

fdsax 发表于 2026-4-27 18:59
emsi

你这是扫描还是双击的，我扫描没反应啊

显示全部楼层 · 发表于 2026-4-28 00:19:16

huhansan001 发表于 2026-4-27 22:30
你这是扫描还是双击的，我扫描没反应啊

双击，只有双击触发行为才会查询云端信誉

[病毒样本] 金蝶服务器抓到的勒索样本Ransom/LockFile.n

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源