Ransom.Win32.HELDOWN.THJAGBD

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %ProgramData%\xx.ico
• %ProgramData%\1.bat

它添加下列进程：

• cmd /c wmic shadowcopy delete /noninteractive
• cmd /c "vssadmin Delete Shadows /All /Quiet"
• cmd /c %ProgramData%\1.bat
• ping 127.0.0.1 -n 2
• taskkill /f /im sql*
• taskkill /f /im oracle*
• taskkill /f /im mysq*
• taskkill /f /im veeam*
• taskkill /f /im firefox*
• taskkill /f /im excel*
• taskkill /f /im msaccess*
• taskkill /f /im onenote*
• taskkill /f /im outlook*
• taskkill /f /im powerpnt*
• taskkill /f /im winword*
• taskkill /f /im wuauclt*
• cmd /c "taskkill /f /im cmd.exe & taskkill /f /im conhost.exe"
• cmd /c "ping 127.0.0.1 & del %ProgramData%\1.bat & del {Malware File Path}\{Malware File Name} & shutdown -r -f -t 0"

其他(tā)系统修改

它添加下列注册表项作(zuò)為(wèi)安(ān)装(zhuāng)例程的一部分(fēn)：

HKEY_LOCAL_MACHINE\Classes\.uQlf
(Default) = uQlfIcon

HKEY_LOCAL_MACHINE\Classes\uQlfIcon\
DefaultIcon
(Default) = %ProgramData%\xx.ico

它添加下列注册表键值作(zuò)為(wèi)其安(ān)装(zhuāng)例程的一部分(fēn):

HKEY_LOCAL_MACHINE\Classes
uQlfIcon =

HKEY_LOCAL_MACHINE\Classes
.uQlf =

进程终止

它终止在受感染的系统上运行的下列服務(wù)：

• backup
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• memtas
• mepocs
• msexchange
• sophos
• sql
• svc$
• veeam
• vss

它终止在受感染的系统内存中(zhōng)运行的下列进程：

• excel
• firefox
• msaccess
• mysq
• onenote
• oracle
• outlook
• powerpnt
• veeam
• winword
• wuauclt

其他(tā)详细信息

它使用(yòng)下列扩展名(míng)加密文(wén)件：

• .ldf
• .mdf
• .pko
• Extensions not in the whitelist

该程序执行以下操作(zuò)：

• It changes the encrypted file icon to the following image:
  
• It encrypts network shares.