Ransom.Win32.SHADE.THBBFAI

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

安(ān)装(zhuāng)

它在受感染的系统中(zhōng)植入下列自身副本：

• %All Users Profile%\Windows\csrss.exe

它植入下列文(wén)件：

• %User Temp%\{Random Folder Name}\cached-certs
• %User Temp%\{Random Folder Name}\cached-microdesc-consensus
• %User Temp%\{Random Folder Name}\cached-microdescs.new
• %User Temp%\{Random Folder Name}\lock
• %User Temp%\{Random Folder Name}\state
• %User Temp%\{Random Folder Name}\unverified-microdesc-consensus

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

它添加下列进程：

• %System%\vssadmin.exe List Shadows
• %System%\vssadmin.exe Delete Shadows /All /Quiet
• %System%\cmd.exe chcp

(注意: %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Client Server Runtime Subsystem = "%All Users Profile%\Windows\csrss.exe"

其他(tā)系统修改

它添加下列注册表键值:

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration

它添加下列注册表项：

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xVersion = 4.0.0.1

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xmail = {Number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xmode = {Number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xstate = {Number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xcnt = {Number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
shst = {Number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
sh2 = {Base64 Encoded Data}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
shsnt = {Number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xi = D7C7911B1FBBD763C92B

它通过修改下列注册表项，更改桌面壁纸：

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\{Random Filename}.bmp

它将系统的桌面壁纸设置為(wèi)下列图像：

• %Application Data%\{Random Filename}.bmp
  

信息窃取

它收集下列数据:

• Computer name
• User name
• IP address
• Computer domain
• List of logical drives
• Windows version
• List of installed software

其他(tā)详细信息

它连接到下列网站，发送和接收信息：

• http://{BLOCKED}p2xzclh6fd.onion/{Path}
  where {Path} can be any of the following:
  • ../spam/3649/A_[Random Numbers].html
  • ../spam/3649/A_[Random Numbers].html
  • ../spam/3649/A_[Random Numbers].html
  • ../spam/3649/A_[Random Numbers].html
  • ../spam/3649/A_[Random Numbers].html
  • ../spam/3649/A_[Random Numbers].html
  • ../spam/3649/A_[Random Numbers].html