Analisado por: Jennifer Gumban   
 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribui??o:
 infec??o relatada:
 Exposi??o das informa??es:
Baixo
Medium
Alto
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de grayware:
    Trojan

  • Destrutivo:
    N?o

  • Criptografado:
    Sim

  • In the Wild:
    Sim

  Vis?o geral

Canal de infec??o: Aus dem Internet heruntergeladen


  Detalhes t¨¦cnicos

Tipo de compacta??o: 7,680 bytes
Tipo de arquivo: EXE
Residente na mem¨®ria: N?o
Data de recebimento das amostras iniciais: 16 junho 2017
Carga ¨²til: Encryps files

Installation

Schleust folgende Dateien/Komponenten ein:

  • %User Temp%\{random value}.exe
  • %User Profile%\Desktop\READ TO DECRYPTIONS_.txt
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\READ TO DECRYPTIONS_.txt
  • {folders containing encrypted files}\READ TO DECRYPTIONS_.txt

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %User Profile% ist der Ordner f¨¹r Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Hinterl?sst Textdateien, um L?segeld durch folgenden Inhalt zu erpressen:

  • All your data files are crypted.
    To decrypt files and gain access to them,
    please send 0.5 Bitcoin to address
    1G3uZtTUN8J3Wd9iQxft6Xej8BWh5EBHhz

    and email to xg9739517395nb@163.com proof
    (screen or TransID) of your payment.

    After receiving the money, I will send you
    your password and decrypt instruction via email.

Andere System?nderungen

F¨¹gt die folgenden Registrierungseintr?ge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.rtyrtyrty
(Default) = "VKKYOEBUQZTVGTN"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN
(Default) = "CRYPTED!"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN\DefaultIcon
(Default) = "%User Temp%\{random value}.exe,0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN\shell\open\
command
(Default) = "%User Temp%\{random value}.exe"

Andere Details

Verschl¨¹sselt Dateien mit den folgenden Erweiterungen:

  • *.zip
  • *.rar
  • *.tar
  • *.gzip
  • *.jpg
  • *.jpeg
  • *.psd
  • *.cdr
  • *.dwg
  • *.max
  • *.bmp
  • *.gif
  • *.png
  • *.doc
  • *.docx
  • *.xls
  • *.xlsx
  • *.ppt
  • *.pptx
  • *.txt
  • *.pdf
  • *.djvu
  • *.htm
  • *.html
  • *.mdb
  • *.cer
  • *.p12
  • *.pfx
  • *.kwm
  • *.pwm
  • *.1cd
  • *.mdf
  • *.dbf
  • *.odt
  • *.vob
  • *.ifo
  • *.lnk
  • *.torrent
  • *.mov
  • *.m2v
  • *.3gp
  • *.mpeg
  • *.mpg
  • *.flv
  • *.avi
  • *.mp4
  • *.wmv
  • *.divx
  • *.mkv
  • *.mp3
  • *.wav
  • *.flac
  • *.ape
  • *.wma
  • *.edb
  • *.ndf
  • *.ldf
  • *.vhdx
  • *.vhd
  • *.vmdk
  • *.tis
  • *.accdb
  • *.iso
  • *.wim
  • *.WIM
  • *.msg
  • *.vcf
  • *.mbdb
  • *.plist
  • *.ZIP
  • *.RAR
  • *.bak
  • *.BAK
  • *.backup
  • *.ldb
  • *.QBB
  • *.qbb
  • *.probkp
  • *.mde
  • *.sql
  • *.SQL
  • *.001
  • *.002
  • *.003
  • *.004
  • *.005
  • *.006
  • *.007
  • *.008
  • *.009
  • *.adm
  • *.ADM
  • *.hsh
  • *.sn1
  • *.sn2
  • *.sn3
  • *.sna
  • *.spf
  • *.report
  • *.v2i
  • *.bkf
  • *.pst
  • *.nsf
  • *.aspx
  • *.flf
  • *.900
  • *.trp
  • *.xtbl
  • *.cerber
  • *.crypt
  • *.bac
  • *.CrySiS
  • *.ac3

Benennt verschl¨¹sselte Dateien in folgende Namen um:

  • {original filename and extension}.rtyrtyrty
  • {original filename and extension}.scydbDmbug0182K

  Solu??o

Mecanismo de varredura m¨ªnima: 9.800
Primeiro arquivo padr?o VSAPI: 12.634.02
Data do lan?amento do primeiro padr?o VSAPI: 06 julho 2016
VSAPI OPR Pattern Version: 12.635.00
VSAPI OPR Pattern ver?ffentlicht am: 07 julho 2016

Step 1

F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Diesen Registrierungswert l?schen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

?
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.rtyrtyrty
    • (Default) = "VKKYOEBUQZTVGTN"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VKKYOEBUQZTVGTN
    • (Default) = "CRYPTED!"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VKKYOEBUQZTVGTN\DefaultIcon
    • (Default) = "%User Temp%\{random value}.exe,0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VKKYOEBUQZTVGTN\shell\open\command
    • (Default) = "%User Temp%\{random value}.exe"

Step 4

Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als RANSOM_XORIST.F entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.


Participe da nossa pesquisa!