Trojan.BAT.CRYNOX.RGN

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

该恶意软件不具(jù)有(yǒu)任何传播例程。

该恶意软件不具(jù)有(yǒu)任何后门例程。

但截至本文(wén)截稿时為(wèi)止，上述网站均不可(kě)访问。

该恶意软件不具(jù)有(yǒu)任何信息窃取功能(néng)。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• {Malware File Path}\temp.vbs → Creates a shortcut file in %Desktop% of all the files the malware has renamed. Deleted afterwards.
• %Desktop%\{File Name Of Renamed File}.lnk

(注意: %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT)、C:\Documents and Settings\{User Name}\桌面 (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\Desktop (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它添加下列进程：

• powershell -Command "$hwnd = (Get-Process -Id $PID).MainWindowHandle; ^
• reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d 1 /f
• powershell -Command "Invoke-WebRequest 'https://{BLOCKED}awn.vercel.app/ReatCryptSC.ico' -OutFile %User Temp\ReatCryptSC.ico'"
• cscript //nologo temp.vbs

其他(tā)系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

传播

该恶意软件不具(jù)有(yǒu)任何传播例程。

后门例程

该恶意软件不具(jù)有(yǒu)任何后门例程。

下载例程

它使用(yòng)下列文(wén)件名(míng)保存下载的文(wén)件：

• %User Temp%\ReatCryptSC.ico → Set as the icon of shortcut files created in %Desktop%.

(注意: %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT)、C:\Documents and Settings\{User Name}\桌面 (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\Desktop (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

但截至本文(wén)截稿时為(wèi)止，上述网站均不可(kě)访问。

信息窃取

该恶意软件不具(jù)有(yǒu)任何信息窃取功能(néng)。

其他(tā)详细信息

该程序执行以下操作(zuò)：

• It uses PowerShell to disable the close button of the Command Prompt window.
• It disables the Task Manager.
• It deletes files found in %Desktop% with the following file extension:
  • .lnk
• It checks the %System%\User folder recursively for files with the following extensions:
  • .dll
  • .docx
  • .exe
  • .jpg
  • .m4a
  • .mp3
  • .pdf
  • .png
  • .pptx
  • .txt
• It appends the following file extension to the said file if found:
  • .CRYNOX

(注意: %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT)、C:\Documents and Settings\{User Name}\桌面 (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\Desktop (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。. %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)