Ransom.Win64.THREEAM.THDAIBD
Windows
Type de grayware:
Ransomware
Destructif:
Non
Chiffrement:
In the wild::
Oui
Overview
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
D¨¦tails techniques
?bertragungsdetails
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
F¨¹gt die folgenden Prozesse hinzu:
- "netsh.exe" advfirewall firewall set rule "group="Network Discovery"" new enable=Yes
- "wbadmin.exe" delete systemstatebackup -keepVersions:0 -quiet
- "wbadmin.exe" DELETE SYSTEMSTATEBACKUP
- "wbadmin.exe" DELETE SYSTEMSTATEBACKUP -deleteOldest
- "bcdedit.exe" /set {default} recoveryenabled No"bcdedit.exe" /set {default} bootstatuspolicy ignoreallfailures
- "wmic.exe" SHADOWCOPY DELETE /nointeractive
- "cmd.exe" /c wevtutil cl security
- "cmd.exe" /c wevtutil cl system
- "cmd.exe" /c wevtutil cl application
- "vssadmin.exe" delete shadows /all /quiet
Autostart-Technik
F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
3AMTheTimeOfMysticismIsntIt? = {Malware File Path}\{Malware File name}
Andere System?nderungen
F¨¹gt die folgenden Registrierungseintr?ge als Teil der Installationsroutine hinzu:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\LanmanServer\Parameters
MaxMpxCt = 0x0000fffff(65535)
Prozessbeendigung
Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:
- vmcomp
- vmwp
- veeam
- Back
- xchange
- backup
- Backup
- acronis
- AcronisAgent
- AcrSch2Svc
- sql
- Enterprise
- Veeam
- VeeamTransportSvc
- VeeamNFSSvc
- AcrSch
- bedbg
- DCAgent
- EPSecurity
- EPUpdate
- Eraser
- EsgShKernel
- FA_Scheduler
- IISAdmin
- IMAP4
- MBAM
- Endpoint
- Afee
- McShield
- task
- mfemms
- mfevtp
- mms
- MsDts
- Exchange
- ntrt
- PDVF
- POP3
- Report
- RESvc
- Monitor
- Smcinst
- SmcService
- SMTP
- SNAC
- swi_
- CCSF
- ccEvtMgr
- ccSetMgr
- TrueKey
- tmlisten
- UIODetect
- W3S
- WRSVC
- NetMsmq
- ekrn
- EhttpSrv
- ESHASRV
- AVP
- klnagent
- wbengine
- KAVF
- mfefire
- svc$
- memtas
- mepocs
- GxVss
- GxCVD
- GxBlr
- GxFWD
- GxCIMgr
- BackupExecVSSProvider
- BackupExecManagementService
- BackupExecJobEngine
- BackupExecDiveciMediaService
- BackupExecAgentBrowser
- BackupExecAgentAccelerator
- vss
- BacupExecRPCService
- CASAD2WebSvc
- CAARCUpdateSvc
- YooBackup
- YooIT
Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgef¨¹hrt werden:
- backup.exe
- Backup.exe
- calc.exe
- CNTAoSMgr.exe
- dbeng.exe
- dbeng50.exe
- dbsnmp.exe
- ekrn.exe
- encsvc.exe
- excel.exe
- firefox.exe
- firefoxconfig.exe
- infopath.exe
- isqlplussvc.exe
- mbamtray.exe
- msaccess.exe
- mspub.exe
- mydesktop.exe
- mydesktopqos.exe
- mydesktopservice.exe
- notepad.exe
- Ntrtscan.exe
- ocautoupds.exe
- ocomm.exe
- ocssd.exe
- onenote.exe
- oracle.exe
- outlook.exe
- PccNTMon.exe
- powerpnt.exe
- raccine.exe
- Raccine.exe
- sqbcoreservice.exe
- sql.exe
- sqlbcoreservice.exe
- steam.exe
- synctime.exe
- tbirdconfig.exe
- thebat.exe
- thunderbird.exe
- tmlisten.exe
- veeam.exe
- virtual.exe
- visio.exe
- vmcomp.exe
- vmwp.exe
- winword.exe
- word.exe
- wordpad.exe
- xchange.exe
- xfssvccon.exe
- zoolz.exe
Andere Details
Es macht Folgendes:
- It empties the Recycled Bin
- It checks if the following file exists:
- view.lock
- It uses the Windows Restart Manager API to close processes or shut down Windows services that may be keeping a file open and preventing encryption.
- When encrypting network shares it will check if the IP address starts with the following to ensure that it is encrypting local, non-internet, systems:
- 172.
- 192.168.
- 10.
- 169.
- It looks for database storage files by looking for the following strings in their file path:
- .4dd
- .4dl
- .accdb
- .accdc
- .accde
- .accdr
- .accdt
- .accft
- .adb
- .ade
- .adf
- .adp
- .arc
- .ora
- .alf
- .ask
- .btr
- .bdf
- .cat
- .cdb
- .ckp
- .cma
- .cpd
- .dacpac
- .dad
- .dadiagrams
- .daschema
- .db
- .db-shm
- .db-wal
- .db3
- .dbc
- .dbf
- .dbs
- .dbt
- .dbv
- .dbx
- .dcb
- .dct
- .dcx
- .ddl
- .dlis
- .dp1
- .dqy
- .dsk
- .dsn
- .dtsx
- .dxl
- .eco
- .edb
- .epim
- .exb
- .fcd
- .fdb
- .fic
- .fmp
- .fmp12
- .fmpsl
- .fol
- .fp3
- .fp4
- .fp5
- .fp7
- .fpt
- .frm
- .gdb
- .grdb
- .gwi
- .hdb
- .his
- .ib
- .idb
- .ihx
- .itdb
- .itw
- .jet
- .jtx
- .kdb
- .kexi
- .kexic
- .kexis
- .lgc
- .lwx
- .maf
- .maq
- .mar
- .mas
- .mav
- .mdb
- .mdf
- .mpd
- .mrg
- .mud
- .mwb
- .myd
- .ndf
- .nnt
- .nrmlib
- .ns2
- .ns3
- .ns4
- .nsf
- .nv
- .nv2
- .nwdb
- .nyf
- .odb
- .oqy
- .orx
- .owc
- .p96
- .p97
- .pan
- .pdb
- .pdm
- .pnz
- .qry
- .qvd
- .rbf
- .rctd
- .rod
- .rodx
- .rpd
- .rsd
- .sas7bdat
- .sbf
- .scx
- .sdb
- .sdc
- .sdf
- .sis
- .sqlite
- .sqlite3
- .sqlitedb
- .te
- .temx
- .tmd
- .tps
- .trc
- .trm
- .udb
- .udl
- .usr
- .v12
- .vis
- .vpd
- .vvv
- .wdb
- .wmdb
- .wrk
- .xdb
- .xld
- .xmlff
- .abcddb
- .abs
- .abx
- .accdw
- .adn
- .db2
- .fm5
- .hjt
- .icg
- .icr
- .kdb
- .lut
- .maw
- .mdn
- .mdt
- It looks for disk image files by looking for the following file extensions in their file path:
- .vdi
- .vhd
- .vmdk
- .pvm
- .vmem
- .vmsn
- .vmsd
- .nvram
- .vmx
- .raw
- .qcow2
- .subvol
- .bin
- .vsv
- .avhd
- .vmrs
- .vhdx
- .avdx
- .vmcx
- .iso
Solutions
Step 2
F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>
Step 4
Diese Dateien suchen und l?schen
- {Encrypted Directory}\RECOVER-FILES.txt
- {Encrypted Directory}\RECOVER-FILES.txt
Step 5
Diesen Registrierungswert l?schen
Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- 3AMTheTimeOfMysticismIsntIt? = {Malware File Path}\{Malware File name}
- 3AMTheTimeOfMysticismIsntIt? = {Malware File Path}\{Malware File name}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
- MaxMpxCt = 0x0000fffff(65535)
- MaxMpxCt = 0x0000fffff(65535)
Step 6
Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als Ransom.Win64.THREEAM.THDAIBD entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.
Step 7
Restore encrypted files from backup.
Participez ¨¤ notre enqu¨ºte!