Ransom.Win32.LOCKBIT.EB

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它添加下列进程：

• %System%\cmd.exe" /C DEL /F /Q %ProgramData%\{Random Hex}.tmp >> NUL

它添加下列互斥条目，确保一次只会运行一个副本：

• Global\{Generated Hash}

进程终止

它终止在受感染的系统上运行的下列服務(wù)：

• backup
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• memtas
• mepocs
• msexchange
• oracle
• sophos
• sql
• svc$
• veeam
• vss

它终止在受感染的系统内存中(zhōng)运行的下列进程：

• agntsvc
• calc
• dbeng50
• dbsnmp
• encsvc
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• ocautoupds
• ocomm
• ocssd
• onedrive
• onenote
• oracle
• outlook
• powerpnt
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• thebat
• thunderbird
• visio
• winword
• wordpad
• wuauclt
• xfssvccon

植入例程

它植入下列文(wén)件：

• %ProgramData%\{Random Hex}.tmp → used to delete itself
  • It renames the malware's filename from A to Z sequentially before deleting it. Each letter is duplicated based on the length of the original filename

其他(tā)详细信息

该程序执行以下操作(zuò)：

• It deletes the following services if found running on the affected system:
  • sppsvc
  • WinDefend
  • wscsvc
  • vmvss
  • eventlog
• It bypasses user account control (UAC), by using the ICMLuaUtil COM interface under %System%\dllhost.exe
• 它使用(yòng) Windows 重启管理(lǐ)器 API 来关闭可(kě)能(néng)正在保持文(wén)件打开状态并阻止加密的进程或 Windows 服務(wù)。
• It duplicates the token of the following:
  • TrustedInstaller - Service is started if not yet running
• It clears Windows event log.
• It contains a list of username:password that it will use to log into domain controllers.
• It encrypts fixed, removable and network shares.

(注意: %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)