Ransom.Win64.MEDUSALOCKER.THIBGBD

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它添加下列进程：

• By using the command line "\?\%Windows%\SysWOW64\cmd.exe /c %Windows%\sysnative\cmd.exe /c {Commands Below}:
  
  • rem Kill \"SQL\"
  • vssadmin.exe Delete Shadows /All /Quiet
  • wbadmin delete backup -keepVersion:0 -quiet
  • wbadminDELETE SYSTEMSTATEBACKUP
  • wbadmin DELETE SYSTEMSTABACKUP -deleteOldest
  • wmic.exe SHADOWCOPY /nointeractive
  • bcdedit.exe /set {default} recoverynabled No
  • bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
  • net stop {Target Services}
  • taskkill -f -im {Target Processes}
• cipher /w:\?\{Drive Letter}
• %System%\cmd.exe /c pause

(注意: %Windows% 是 Windows 文(wén)件夹，通常位于 C:\WINDOWS 或 C:\WINNT。. %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BabyLockerKZ = {Malware Path}\{Malware File Name}.exe

其他(tā)系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\Software\PAIDMEMES
PUBLIC = {Ransomware Public Key}

HKEY_CURRENT_USER\Software\PAIDMEMES
PRIVATE = {Ransomware Private Key}

进程终止

它终止在受感染的系统上运行的下列服務(wù)：

• Via net stop:
  
  • MSSQLServerADHelper100
  • MSSQL$ISARS
  • MSSQL$MSFW
  • SQLAgent$ISARS
  • SQLAgent$MSFW
  • SQLBrowser
  • REportServer$ISARS
  • SQLWriter

它终止在受感染的系统内存中(zhōng)运行的下列进程：

• Via taskkill -f -im:
  
  • sqlbrowser.exe
  • sql writer.exe
  • sqlserv.exe
  • msmdsrv.exe
  • MsDtsSrvr.exe
  • sqlceip.exe
  • fdlauncher.exe
  • Ssms.exe
  • SQLAGENT.EXE
  • fdhost.exe
  • ReportingServicesService.exe
  • msftesql.exe
  • pg_ctl.exe
  • postgres.exe

其他(tā)详细信息

它添加下列注册表键值:

HKEY_CURRENT_USER\Software
PAIDMEMES

该程序执行以下操作(zuò)：

• It encrypts the following drives if found existing on the system:
  
  • Removable Drive
  • Fixed Drive
  • Remote Drive
  • RAM Disk Drive
• It attempts to mount unmounted drives before doing encryption.
• It encrypts data in chunks of 750,016 bytes.
• It skips encryption of 250,048 bytes of data after every chunks.
• It encrypts a maximum of 9,633,920 bytes of data for each files.
• It empties the Recycle Bin.
• It displays logs using the command line application: