作者kioqazwsx (D.F)
看板AntiVirus
標題[問題] b.exe 複製全硬碟資料塞爆硬碟
時間Fri Oct 28 21:30:09 2016
今天遇到的情況
硬碟莫名其妙少了一堆容量還不斷減少中
追查發現Sandbox中的檔案容量異常巨大
點入發現每個硬碟槽的資料都在其中不斷複製中
而且不像平時複製.移動東西 完全沒有任何提示或進度視窗
即使關掉Sandbox 複製動作然在繼續
最後是開啟工作管理員 發現沙盒裡有個b.exe在異常作動
強制關閉它才停止了一切作業
使用AVG掃毒掃不到異常
使用線上掃毒的結果
http:// ppt.cc/ ZajCX 複製後去空白貼上 b.exe 的線上掃毒結果
這果然是病毒還是木馬程式嗎?
-----
目前感覺是從Linkbucks的廣告跑來的....
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.34.54.120
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1477661417.A.569.html
※ 編輯: kioqazwsx (1.34.54.120), 10/28/2016 21:35:04
1F：→ brianuser: 勒索吧，他在改寫檔案所以沙盒就會一直生一直複製 10/28 21:32
2F：→ kioqazwsx: 掃毒掃不到 目前沒發現檔案被鎖死...只能祈禱了? 10/28 21:41
3F：→ kioqazwsx: 現在是連同b.exe整個沙盒清空 暫時沒其他異常... 10/28 21:42
4F：→ kenick: 圖用圖床imgur吧 10/28 22:22
5F：→ kioqazwsx: 是線上掃毒的網頁 把短網址複製貼上去空白就能看到 10/28 22:23
※ 編輯: kioqazwsx (1.34.54.120), 10/28/2016 22:56:58
6F：→ shintz: ptt.cc≠ppt.cc 10/28 23:29
※ 編輯: kioqazwsx (1.34.54.120), 10/29/2016 00:13:40
7F：→ kioqazwsx: 我搞錯了 已修正 10/29 00:14
8F：推 jh961202: 報告都說是Cerber了，那就是了吧 10/29 00:14
9F：→ jh961202: 只是因為是啟動程式，所以才不容易被抓到吧 10/29 00:14
10F：→ jh961202: 而且看VirusTotal的行為分析，根本就在做加密動作... 10/29 00:17
12F：→ kioqazwsx: 我太菜了...有看沒有懂....總之是運氣好逃過一劫? 10/29 00:29
13F：推 yshinri: 就這支程式是勒索病毒, 好在因為它在沙盒裡所以外面沒事 10/29 01:10
14F：→ bestpika: 只能說妳運氣不錯 10/29 01:11
15F：推 KNVSEOC: 現在不開沙盒我根本不敢上網 10/29 02:17
16F：推 NeoBelfort: 比較好奇是從哪個漏洞進來的 10/29 04:43
17F：→ NeoBelfort: 感覺你有裝沙盒 應該也有關flash，ie和設防火牆吧 10/29 04:45
※ 編輯: kioqazwsx (1.161.202.231), 10/29/2016 16:10:37
18F：→ kioqazwsx: 我也想知道 還好之前養成搜尋資料和找下載都開沙盒 10/29 16:12
19F：→ kioqazwsx: 不然真的哭死 該死的Linkbucks廣告.... 10/29 16:13
20F：→ kioqazwsx: 目前載了幾個新掃毒掃描整台PC中 10/29 16:15
21F：推 aglet: 看到qihoo360有掃到 如果不是怕個資 免費防毒來說算最強 10/30 00:58
22F：推 GJME: 都在沙盒裡作亂 運氣真不錯 10/30 07:37
23F：推 GJME: 看virustotal裡面的行為分析 明顯就是啦 有段對word、excel 10/30 07:42
24F：→ GJME: 、ppt跟jpg的讀寫 之後變亂碼檔名 10/30 07:42
25F：推 NeoBelfort: 看了不少再virustotal的勒索病毒 發現有不少BD和卡巴 10/31 01:18
26F：→ NeoBelfort: 都沒掃到(不知是哪版的病毒庫)倒是invincea這家做企業 10/31 01:18
27F：→ NeoBelfort: 防毒的大多都有掃到 也可能是他給vt的資料庫包含行為 10/31 01:18
28F：→ NeoBelfort: 分析 10/31 01:18
29F：推 ltyintw: 原po的沙盒是克魔島comodo的防火牆嗎？ 11/03 12:50
30F：→ st20511: invincea是用machine learning的方式偵測 11/03 23:42