Ransom.Win32.BRAINCIPHER.THGAEBD

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %ProgramData%\{Random}.tmp → used to delete the malware, deleted afterwards

它添加下列进程：

• %ProgramData%\{Random}.tmp
• "%System%\cmd.exe" /C DEL /F /Q %ProgramData%\{Random}.tmp >> NUL

(注意: %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

它添加下列互斥条目，确保一次只会运行一个副本：

• Global\{Generated Hash}

进程终止

它终止在受感染的系统上运行的下列服務(wù)：

• securityhealthservice
• sense
• sppsvc
• wdboot
• wdfilter
• wdnisdrv
• wdnissvc
• windefend
• wscsvc
• vmicvss
• vss

其他(tā)详细信息

该程序执行以下操作(zuò)：

• It encrypts fixed, removable and network shares
• It deletes the following services:
  • securityhealthservice
  • sense
  • sppsvc
  • wdboot
  • wdfilter
  • wdnisdrv
  • wdnissvc
  • windefend
  • wscsvc
  • vmicvss
  • vss
• It deletes files in recycle bin folder for removable and fixed drives