分(fēn)析者: Michael Jay Villanueva   
 :

Ransom.Enigma (Malwarebytes); Trojan.Ransom.Enigma.2 (Arcabit)

 平台:

Windows

 总體(tǐ)风险等级:
 潜在破坏:
 潜在分(fēn)布:
 感染次数:
 信息暴露:

  • 恶意软件类型:
    Trojan

  • 有(yǒu)破坏性？:
    没有(yǒu)

  • 加密？:
    是的

  • In the Wild:
    是的

  概要

感染途徑: 从互联网上下载，或由其他(tā)恶意软件释放。

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

  技(jì )术详细信息

文(wén)件大小(xiǎo): 260,608 bytes
报告日期: EXE
内存驻留: 没有(yǒu)
初始樣本接收日期: 2016年10月17日
Payload: 连接到 URL/Ip

安(ān)装(zhuāng)

它植入下列文(wén)件：

  • %User Temp%\pbkey.pbkey -> public key
  • %User Temp%\prkey.prkey -> private key
  • %User Temp%\enigma_info.txt -> Ransom Note
  • %User Temp%\workstatistic.dat
  • %User Temp%\falcon9.falcon
  • %Desktop%\E_N_I_G_M_A.RSA -> key file
  • %User Temp%\E_N_I_G_M_A.RSA -> key file

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。. %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT) 和 C:\Documents and Settings\{User Name}\桌面 (Windows 2000、XP 和 Server 2003)。)

它植入和执行下列文(wén)件：

  • %Desktop%\enigma_info.txt -> Ransom Note

(注意: %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT) 和 C:\Documents and Settings\{User Name}\桌面 (Windows 2000、XP 和 Server 2003)。)

它开始执行然后再删除。

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
bfceedddae = "{Malware Path}\{Malware Filename}.exe"

Web浏览器主页(yè)和搜索页(yè)面修改

它修改 Internet Explorer 區(qū)域设置。

其他(tā)详细信息

它连接到下列网站，发送和接收信息：

  • http://{BLOCKED}.{BLOCKED}.201.113/get.php

它使用(yòng)下列扩展名(míng)加密文(wén)件：

  • .001
  • .002
  • .1cd
  • .7z
  • .bz
  • .bz2
  • .bza
  • .bzip
  • .bzip2
  • .cd
  • .cdr
  • .crt
  • .csr
  • .csv
  • .czip
  • .dat
  • .dbf
  • .dif
  • .doc
  • .docb
  • .docm
  • .docx
  • .dwg
  • .gz
  • .gz
  • .gz2
  • .gza
  • .gzi
  • .gzip
  • .hdoc
  • .hwp
  • .key
  • .kwm
  • .lzma
  • .max
  • .mdb
  • .mdb
  • .mml
  • .odg
  • .odp
  • .ods
  • .odt
  • .odt
  • .otg
  • .otp
  • .ots
  • .ott
  • .pdf
  • .pem
  • .pot
  • .potm
  • .potx
  • .ppam
  • .pps
  • .ppsm
  • .ppsx
  • .ppt
  • .ppt
  • .pptm
  • .pptx
  • .pptx
  • .rar
  • .rtf
  • .rtf
  • .slk
  • .sln
  • .sqlite
  • .sqx
  • .sqz
  • .srep
  • .stc
  • .std
  • .sti
  • .stw
  • .sxc
  • .sxi
  • .sxm
  • .sxw
  • .tar
  • .taz
  • .tbz
  • .tbz2
  • .tg
  • .tgz
  • .tlz
  • .tlzma
  • .tsk
  • .tx_
  • .txt
  • .txz
  • .tz
  • .uc2
  • .uot
  • .wks
  • .xlc
  • .xlm
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx
  • .xlsx
  • .xlt
  • .xltm
  • .xltx
  • .xlw
  • .xz
  • .zi
  • .zip
  • .zip
  • .zipx
  • .zix

它使用(yòng)下列名(míng)称重命名(míng)加密文(wén)件：

  • {Original Filename and Extension}.1txt
    • ie. Sample.txt.1txt

  解决方案

最小(xiǎo)扫描引擎: 9.800
First VSAPI Pattern File: 12.842.03
VSAPI 第一样式发布日期: 2016年10月17日
VSAPI OPR样式版本: 12.843.00
VSAPI OPR样式发布日期: 2016年10月18日

Step 1

对于Windows ME和XP用(yòng)户，在扫描前，请确认已禁用(yòng)系统还原功能(néng)，才可(kě)全面扫描计算机。

Step 3

重启进入安(ān)全模式

[ 更多(duō) ]

Step 4

删除该注册表值

[ 更多(duō) ]

注意事项：错误编辑Windows注册表会导致不可(kě)挽回的系统故障。只有(yǒu)在您掌握后或在系统管理(lǐ)员的帮助下才能(néng)完成这步。或者，请先阅读Microsoft文(wén)章，然后再修改计算机注册表。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • bfceedddae = "{Malware Path}\{Malware Filename}.exe"

Step 5

搜索和删除这些文(wén)件

[ 更多(duō) ]
有(yǒu)些组件文(wén)件可(kě)能(néng)是隐藏的。请确认在"高级选项"中(zhōng)已选中(zhōng)搜索隐藏文(wén)件和文(wén)件夹复选框，使查找结果包括所有(yǒu)隐藏文(wén)件和文(wén)件夹。
  • %User Temp%\pbkey.pbkey
  • %User Temp%\prkey.prkey
  • %User Temp%\enigma_info.txt
  • %User Temp%\workstatistic.dat
  • %User Temp%\falcon9.falcon
  • %User Temp%\E_N_I_G_M_A.RSA
  • %Desktop%\E_N_I_G_M_A.RSA
  • %Desktop%\enigma_info.txt
DATA_GENERIC_FILENAME_1
  • 在查找范围下拉列表中(zhōng)，选择
  • 我的電(diàn)脑然后回車(chē)确认。
  • 一旦找到，请选择文(wén)件，然后按下SHIFT+DELETE彻底删除文(wén)件。
  • 对剩余的文(wén)件重复第2到4步：
      • %User Temp%\pbkey.pbkey
      • %User Temp%\prkey.prkey
      • %User Temp%\enigma_info.txt
      • %User Temp%\workstatistic.dat
      • %User Temp%\falcon9.falcon
      • %User Temp%\E_N_I_G_M_A.RSA
      • %Desktop%\E_N_I_G_M_A.RSA
      • %Desktop%\enigma_info.txt

    • Step 6

    重启进入正常模式，使用(yòng)亚信安(ān)全产(chǎn)品扫描计算机，检测RANSOM_ENIGMA.B文(wén)件 如果检测到的文(wén)件已被亚信安(ān)全产(chǎn)品清除、删除或隔离，则无需采取进一步措施。可(kě)以选择直接删除隔离的文(wén)件。请参阅知识库页(yè)面了解详细信息。

    Step 7

    重置Internet 安(ān)全设置

    [ 更多(duō) ]