强Ransom 1x

显示全部楼层 · 发表于 2026-5-3 02:27:44

本帖最后由 hashcake 于 2026-5-3 12:54 编辑

Samsung_SHC通过QQ闪传分享了【Raw.zip】
链接：https://qfile.qq.com/q/LZ1Qa84yIM

如果杀LoaderW可以试试payload
Samsung_SHC通过QQ闪传分享了【update.dll】
链接：https://qfile.qq.com/q/vvqwUZ8RCE
用法:rundll32 update.dll,main

第二天12:49测试
火绒:
内存防护高等级，开启启发式扫描，未检出
exe无法运行，dll被主防识别为**Ransom/LockFile.ACH**，在第一版只能靠诱捕、第二版miss的情况下，似乎是加了检测点秒了第三版
恭喜火绒👍

病毒库时间：2026-05-02 19:43
开始时间：2026-05-03 12:47
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：2
扫描文件：1
发现风险：0
已处理风险：0

病毒名称：Ransom/LockFile.ACH
病毒路径：C:\Windows\SYSTEM32\update.dll

进程ID：4736
操作进程命令行：rundll32 update.dll,main
父进程ID：4640
父进程：C:\Windows\System32\cmd.exe
父进程命令行："C:\Windows\system32\cmd.exe"

显示全部楼层 · 发表于 2026-5-3 03:06:05

卡巴扫描未检出
没跑出程序
微步未检出
样本报告-微步在线云沙箱
样本报告-微步在线云沙箱

显示全部楼层 · 发表于 2026-5-3 03:22:02

ES

显示全部楼层 · 发表于 2026-5-3 03:35:29

Loyisa 发表于 2026-5-3 03:22
ES

可以试试payload
Samsung_SHC通过QQ闪传分享了【update.dll】
链接：https://qfile.qq.com/q/vvqwUZ8RCE
用法:rundll32 update.dll,main

显示全部楼层 · 发表于 2026-5-3 07:27:26

360扫描miss

显示全部楼层 · 发表于 2026-5-3 09:09:41

ESET不报，liveguard也不报

显示全部楼层 · 发表于 2026-5-3 09:11:03

程序无法跑起来。

跑dll，看到的行为只有直接删除文档文件和png，我认为是个纯破坏性的程序，还达不到勒索的程度。

显示全部楼层 · 发表于 2026-5-3 10:36:35

本帖最后由 scottxzt 于 2026-5-3 13:21 编辑

Trojan:Win32/Wacatac.B!ml
file: F:\Raw\loaderW.exe
Trojan:Win32/Wacatac.H!ml
file: F:\update.dll

显示全部楼层 · 发表于 2026-5-3 11:06:32

本帖最后由吃瓜群众第123位于 2026-5-3 14:08 编辑

华为乾坤 miss
趋势科技云端版 miss 已上报

显示全部楼层 · 发表于 2026-5-3 12:14:44

本帖最后由 hashcake 于 2026-5-3 12:18 编辑

嘿嘿不能说发表于 2026-5-3 09:11
程序无法跑起来。

跑dll，看到的行为只有直接删除文档文件和png，我认为是个纯破坏性的程序，还达不到勒 ...

不是直接删除，而是转移到C:\Users\Public\Disk.vhdx，随后加密vhdx,完全是可恢复的

[病毒样本] 强Ransom 1x

本帖子中包含更多资源

本帖子中包含更多资源