Analisado por: Joshua Paul Ignacio   
 

Trojan-Ransom.FileCrypter (IKARUS), W32/Encoder.AFA!tr (FORTINET)

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribui??o:
 infec??o relatada:
 Exposi??o das informa??es:
Baixo
Medium
Alto
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de grayware:
    Ransomware

  • Destrutivo:
    N?o

  • Criptografado:
    N?o

  • In the Wild:
    Sim

  Vis?o geral

Canal de infec??o: Fallen gelassen von anderer Malware

Wird m?glicherweise von anderer Malware eingeschleust.

L?scht Dateien, so dass Programme und Anwendungen nicht ordnungsgem?? ausgef¨¹hrt werden.

  Detalhes t¨¦cnicos

Tipo de compacta??o: 47,104 bytes
Tipo de arquivo: , EXE
Residente na mem¨®ria: N?o
Data de recebimento das amostras iniciais: 08 janeiro 2021
Carga ¨²til: Displays message/message boxes, Encrypts files

?bertragungsdetails

Wird m?glicherweise von der folgenden Malware eingeschleust:

Installation

Schleust die folgenden Dateien ein:

  • %System%\LogonUI.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

F¨¹gt die folgenden Prozesse hinzu:

  • "C:\Windows\System32\cmd.exe" /takeown /f C:\Windows\System32\Taskmgr.exe && icacls C:\Windows\System32\Taskmgr.exe /grant %username%:F && del C:\Windows\System32\Taskmgr.exe && takeown /f C:\Windows\System32\LogonUI.exe && icacls C:\Windows\System32\LogonUI.exe /grant %username%:F && del C:\Windows\System32\LogonUI.exe && exit
  • "C:\Windows\System32\shutdown.exe" /r /f /t 0

Andere System?nderungen

L?scht die folgenden Dateien:

  • %Desktop%\desktop.ini
  • %User Profile%\Downloads\desktop.ini
  • %User Profile%\Pictures\desktop.ini
  • %User Profile%\Documents\desktop.ini

(Hinweis: %Desktop% ist der Ordner 'Desktop' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Profile% ist der Ordner f¨¹r Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

F¨¹gt die folgenden Registrierungseintr?ge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

?ndert die folgenden Registrierungseintr?ge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\Current Version\Winlogon
Shell = empty

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgef¨¹hrt werden:

  • cmd
  • regedit
  • Processhacker
  • sdclt
  • powershell

Andere Details

F¨¹gt die folgenden Registrierungsschl¨¹ssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

Es macht Folgendes:

  • The sample will delete the legitimate %System%\LogonUI.exe which will then be replaced by moving a dropped file %System Root%\LogonUI.exe to %System% which is responsible for displaying the following message on the screen:

    Upon clicking "Contact Us", it will display the following message:
  • It encrypts files found in the following directories:
    • %Desktop%
    • %User Profile%\Downloads
    • %User Profile%\Pictures

  Solu??o

Mecanismo de varredura m¨ªnima: 9.800
Primeiro arquivo padr?o VSAPI: 16.470.03
Data do lan?amento do primeiro padr?o VSAPI: 11 janeiro 2021
VSAPI OPR Pattern Version: 16.471.00
VSAPI OPR Pattern ver?ffentlicht am: 12 janeiro 2021

Step 2

F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>

Step 4

Aktivieren Sie Registrierungseditor, Task-Manager und Ordneroptionen.

[ Saber mais ]
Mit diesem Schritt aktivieren Sie auch andere Anwendungen/Programme, die von dieser Malware/Grayware/Spyware deaktiviert wurden.

Registrierungseditor, Task-Manager und Ordneroptionen aktivieren:

  1. ?ffnen Sie den Editor. Klicken Sie dazu auf ""Start > Ausf¨¹hren"", geben Sie in das Textfeld ""Notepad"" ein, und dr¨¹cken Sie die Eingabetaste.
  2. Kopieren Sie das folgende Skript, und f¨¹gen Sie es ein:
  3. Speichern Sie diese Datei unter C:\RESTORE.VBS.
  4. Klicken Sie erneut auf Start > Ausf¨¹hren. Geben Sie in das Textfeld C:\RESTORE.VBS ein, und dr¨¹cken Sie die Eingabetaste.
  5. Klicken Sie in der Meldung auf Ja, um die VBS-Datei auszuf¨¹hren.

Step 5

Diesen Registrierungsschl¨¹ssel l?schen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

Step 6

Diesen ge?nderten Registrierungswert wiederherstellen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon
    • From: Shell = empty
      To:
      Shell = {Default Value}

Step 7

Diese Datei suchen und l?schen

[ Saber mais ]
M?glicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollk?stchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Dateien und Ordner in den Suchergebnissen zu ber¨¹cksichtigen.
  • %System%\LogonUI.exe (Please make sure that the filesize is equal to 12,800 bytes or 12.5KB)

Step 8

Restore this file from backup only Microsoft-related files will be restored. If this malware/grayware also deleted files related to programs that are not from Microsoft, please reinstall those programs on you computer again.

  • %Desktop%\desktop.ini
  • %User Profile%\Downloads\desktop.ini
  • %User Profile%\Pictures\desktop.ini
  • %User Profile%\Documents\desktop.ini

Step 9

Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als Ransom.MSIL.COBRALOCKER.AA entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.

Step 10

Restore encrypted files from backup.


Participe da nossa pesquisa!