Ransom.Win64.ASTROLOCKER.THCBDBA

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %User Temp%\{random 8 characters}.bat
• {Malware Path\Malware Name}.dll.log - log file where core count, total memory, OS Information, username, commandline, encrypted files, and malware sample's performance statistics are listed

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

它添加下列进程：

• cmd /c ""%User Temp%\ {random 8 characters}.bat" "{Malware Path}\{Malware Name}.dll""

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

它开始执行然后再删除。

它添加下列互斥条目，确保一次只会运行一个副本：

• {32 Hex Characters generated from Volume Serial ID}

其他(tā)系统修改

它添加下列注册表项作(zuò)為(wèi)安(ān)装(zhuāng)例程的一部分(fēn)：

HKEY_CURRENT_USER\Software\Classes\
.{Generated ID}\shell\Open
../spam/3649/A_[Random Numbers].html

进程终止

它终止在受感染的系统上运行的下列服務(wù)：

• database
• msexchange

它终止在受感染的系统内存中(zhōng)运行的下列进程：

• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• sqlservr.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• thebat.exe
• steam.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• QBW32.exe
• QBW64.exe
• ipython.exe
• wpython.exe
• python.exe
• dumpcap.exe
• procmon.exe
• procmon64.exe
• procexp.exe
• procexp64.exe

信息窃取

它接受下列参数:

• /console - displays the following console window
  
• /nolog - disable the creation of the log file in the malware directory
• /scan: - specifies what drive type to encrypt
• /marker:{filename} - drops file in infected drive that serves as an infection marker
• /fullpd - encrypts %ProgramData%
• /nodel - disables self deletion after execution
• /nokill - disable process termination
• /fast:{value} - specifies which bytes to encrypt for faster file encryption
• /onlypath /path:{path} - only encrypts a specific path