Ransom.Win32.STOP.THDOEBD

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

但截至本文(wén)截稿时為(wèi)止，上述网站均不可(kě)访问。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它添加下列文(wén)件夹：

• %AppDataLocal%\{UUID 1}
• %AppDataLocal%\{UUID 2}
• %System Root%\SystemID

(注意： %System Root% 是根文(wén)件夹，通常位于 C:\。它也是操作(zuò)系统所在的位置。)

它在受感染的系统中(zhōng)植入下列自身副本：

• %AppDataLocal%\{UUID 1}\{Malware Name}

它植入下列文(wén)件：

• %User Temp%\delself.bat ← deletes the malware if it is found to be executing on a system that is located in particular countries
• %System%\Tasks\Time Trigger Task ← creates scheduled task for the malware
• %AppDataLocal%\bowsakkdestx.txt ← contains the public key and system encryption identifier, deleted afterwards
• %System Root%\SystemID\PersonalID.txt ← unique identifier for the affected system

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。. %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。

(注意： %System Root% 是根文(wén)件夹，通常位于 C:\。它也是操作(zuò)系统所在的位置。)

它添加下列进程：

• {Malware File Path}\{Malware Name} "{Malware File Path}\{Malware Name}"
• icacls "%AppDataLocal%\{UUID 1}" /deny *S-1-1-0:(OI)(CI)(DE,DC) ← protect this path/folder
• {Malware File Path}\{Malware Name} --Admin IsNotAutoStart IsNotTask

它添加下列互斥条目，确保一次只会运行一个副本：

• {1D6FC66E-D1F3-422C-8A53-C0BBCF3D900D}
• {FBB4BCC6-05C7-4ADD-B67B-A98A697323C1}
• IESQMMUTEX_0_208

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = %AppDataLocal%\{UUID 1}\{Malware File Name} --AutoStart

其他(tā)系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = 1

下载例程

但截至本文(wén)截稿时為(wèi)止，上述网站均不可(kě)访问。

信息窃取

它收集下列数据:

• IP Address
• MAC Address
• Computer Name
• User Name

其他(tā)详细信息

该程序执行以下操作(zuò)：

• It checks if it is running on Windows XP or lower Windows versions. If this condition is met, it will check for a service named "MYSQL" and terminate it.
• It tries to open the following file(s):
  • I:\5d2860c89d774.jpg