RANSOM_ENIGMA.A

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %User Temp%\b815_appcompat.txt
• %Application Data%\testStart.txt
• %Desktop%\enigma_encr.txt -> Ransom Note (Text File)
• %Desktop%\allfilefinds.dat -> List of Searched/Encrypted Files
• %Desktop%\ENIGMA_682.RSA -> contains encryption key

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。. %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。. %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT) 和 C:\Documents and Settings\{User Name}\桌面 (Windows 2000、XP 和 Server 2003)。)

它植入和执行下列文(wén)件：

• %Desktop%\enigma.hta -> Ransom Note (Window Message)

(注意: %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT) 和 C:\Documents and Settings\{User Name}\桌面 (Windows 2000、XP 和 Server 2003)。)

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyProgram = %Desktop%\{malware filename}.exe

其他(tā)系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyProgramOk = %Desktop%\enigma.hta

Web浏览器主页(yè)和搜索页(yè)面修改

它修改 Internet Explorer 區(qū)域设置。

其他(tā)详细信息

它连接到下列网站，发送和接收信息：

• http://{BLOCKED}.{BLOCKED}.204.90/images/tuck.php

它使用(yòng)下列扩展名(míng)加密文(wén)件：

• .1cd
• .2d
• .3dc
• .7z
• .aes
• .asm
• .asp
• .asp
• .aspx
• .avi
• .bat
• .bmp
• .bz
• .bz2
• .bza
• .bzip
• .bzip2
• .cad
• .cd
• .cdr
• .cmd
• .cpp
• .crt
• .csr
• .csv
• .czip
• .dat
• .dbf
• .dif
• .djv
• .djvu
• .doc
• .docb
• .docm
• .docx
• .dwg
• .fla
• .gif
• .gz
• .gz
• .gz2
• .gza
• .gzi
• .gzip
• .hdoc
• .html
• .hwp
• .java
• .jpeg
• .jpg
• .key
• .kwm
• .lzma
• .max
• .mdb
• .mdb
• .mkv
• .mml
• .mov
• .mpeg
• .mpg
• .MYD
• .MYI
• .odg
• .odp
• .ods
• .odt
• .odt
• .otg
• .otp
• .ots
• .ott
• .pas
• .pem
• .php
• .php
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .ppt
• .pptm
• .pptx
• .pptx
• .psd
• .rar
• .rtf
• .rtf
• .slk
• .sln
• .sql
• .sqlite
• .sqlite
• .sqlite3
• .sqlitedb
• .sqx
• .sqz
• .srep
• .stc
• .std
• .sti
• .stw
• .swf
• .sxc
• .sxi
• .sxm
• .sxw
• .tar
• .taz
• .tbk
• .tbz
• .tbz2
• .tg
• .tgz
• .tif
• .tiff
• .tlz
• .tlzma
• .tsk
• .tx_
• .txt
• .txz
• .tz
• .uc2
• .uot
• .vbs
• .vdi
• .wks
• .wmv
• .xlc
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xz
• .zi
• .zip
• .zip
• .zipx
• .zix

它使用(yòng)下列名(míng)称重命名(míng)加密文(wén)件：

• {Original Filename}.enigma
  • ie. Sample.txt.enigma