Re: [心得] 勒索病毒對策:簡易監控小腳本

[orze04 (orz)]

檔案位置
https://drive.google.com/open?id=0B7TH0pBsVfD4TUROdWZVd2o2QzA

使用說明
(1)在C:底下創立資料夾!test
(2)在C:\!test底下創立以下檔案，不要空白檔
1.jpg
1.pdf
1.xlsx
1.pptx
1.docx
1.txt
(3)再次確認上述六個檔案存在
(4)點選monitor2.vbs


增加功能：
1. 多偵測txt, pdf，office系列檔案
2. F槽也放一份shutdown.exe(未來才會用到）

未來可能要增加的功能
1. shutdown.exe 找不到或無法執行的例外處理
2. 檢查檔案hash值



以下是source code
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
WScript.Echo "WARNING! Please copy the file C:\Windows\System32\shutdown.exe
to F:\shutdown.exe"
WScript.Echo "WARNING! Please check these file existed C:\1.jpg, C:\1.pdf,
C:\1.xlsx, C:\1.pptx, C:\1.docx, C:\1.txt"

Set fso = CreateObject("Scripting.FileSystemObject")
Set ws = CreateObject("Wscript.Shell")

Dim honeypotLoca(6)
honeypotLoca(0) = "C:\!test\1.jpg"
honeypotLoca(1) = "C:\!test\1.pdf"
honeypotLoca(2) = "C:\!test\1.xlsx"
honeypotLoca(3) = "C:\!test\1.pptx"
honeypotLoca(4) = "C:\!test\1.docx"
honeypotLoca(5) = "C:\!test\1.txt"

'check exist
Dim b(6)

Do
        For count = 0 To 5
                If Not fso.FileExists(honeypotLoca(count)) Then
                        ws.run "shutdown.exe -s -f -t 0" ,vbhide
                        ws.run "cmd /c F:\shutdown.exe -s -f -t 0" ,vbhide
                End If
        Next
        wscript.sleep 15000
Loop

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
honeypotLoca陣列裡路徑可以自己調整
我是猜他會C

-----
Sent from JPTT on my Sony LT25i.

--
脆皮雞排梅粉地瓜波霸奶茶咖哩豬排烤雞翅膀火雞肉飯鍋燒烏龍麻辣鴨血炒麵麵包
蒜泥白肉可口可樂月亮蝦餅麥克雞塊麥香魚堡鳳梨蝦球草莓厚片大冰奶茶蜜汁叉燒
炸冰淇淋火腿炒飯滑蛋牛肉炒高麗菜滷雞爪凍紅茶拿鐵仙草奶凍沙茶牛柳什錦海鮮
布丁奶茶烤雞腿排酥皮濃湯紅豆湯圓義大利麵鐵板雞柳宮保雞丁麻婆豆腐豆乳雞翅
味噌拉麵海苔飯卷起司豬排蒜味肉羹香草奶昔牛肉湯餃乳酪蛋糕燒肉蓋飯照燒豬排
滷肉飯蚵仔煎蔥抓餅甜不辣蛋包飯鹹酥雞水煎包熱狗堡鹹水雞麥脆雞三杯雞jakevin

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.81.65.247
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1449814037.A.627.html
推 whitefox: 胬胬胬胬
→ orze04: 那應該是tab啦
→ orze04:              代換成四個space
※ 編輯: orze04 (111.81.65.247), 12/11/2015 14:45:11
※ 編輯: orze04 (140.136.150.37), 12/11/2015 15:39:54
推 abramtw: 用心給推
推 jackyT: 用心+備份shutdown給推
推 yehmd: 這篇改後的do loop的地方好像錯了...
→ yehmd: b參數群沒給初始值好像也會無效...
→ orze04: 我換一個寫法好了
※ 編輯: orze04 (220.135.14.139), 12/12/2015 14:26:23
推 skill1095: 推