|
|
发表于 2016-3-12 21:20:48
|
显示全部楼层
本帖最后由 skylly3 于 2016-3-12 21:39 编辑
我没有分析过， 看的别的网站别人做的分析， 只是简单的判断存不存在这个文件：
这之后，真正的加密进程启动。对每个逻辑分区，会有下面的检查：
LPWSTR pngFilePath = new TCHAR[MAX_PATH];
// This produces something like "C:\HELP_YOUR_FILES.PNG"
ComposePngPath(driveName, "HELP_YOUR_FILES.PNG", pngFilePath, MAX_PATH);
if (!FileExists(pngFilePath) == TRUE) {
// Proceed with the encryption
// … … …
}
一般来说，如果磁盘的根目录下含有HELP_YOUR_FILES.PNG文件，这块磁盘会被跳过。我们不知道这是一个bug还是它故意这么做的。对每个过滤掉的磁盘，一个新的加密线程会被启动（线程主函数的参数是一个小的结构体，一部分是公钥，一部分是磁盘名字符串的指针）
来源： http://drops.wooyun.org/tips/11342
ps: 我觉得意义不大，心理作用大于实际作用， 首先你中勒索木马的机率微乎其微， 然后勒索木马又有好几类， 每一类又有好几个版本或者说变种， 遇到刚好检测这个文件的木马的概率就更低了。 |
|
楼主
我表示被吓到了，TB时代居然有一个盘的人
