Installation
Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:
- %User Temp%\{random filename}.exe
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Erstellt die folgenden Ordner:
- %Desktop%\old_shortcut-Transfers here all the files/folders/shortcuts currently in your desktop that haven't been encrypted.
(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)
Andere Systemänderungen
Fügt die folgenden Registrierungsschlüssel hinzu:
HKEY_CURRENT_USER\Software\{random filename}
HKLM\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
CtlGuid
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
ServiceCtlGuid
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
WLanDiagCtlGuid
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
DiagL2SecCtlGuid
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
WDiagCoreCtlGuid
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_CURRENT_USER\Software\{random filename}
{random file name 1} = "{hex values}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
CtlGuid
Guid = "{GUID}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
ServiceCtlGuid
Guid = "{GUID}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
ServiceCtlGuid
BitNames = "DOT11_AUTOCONF DOT11_AUTOCONF_CLIENT DOT11_AUTOCONF_UI DOT11_FATMSM DOT11_COMMON DOT11_WLANGPA DOT11_CLASS_COINSTALLER"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
WLanDiagCtlGuid
Guid = "{GUID}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
WLanDiagCtlGuid
BitNames = "WLANHC_AUTOCONFIG WLANHC_RNWFMSM WLANHC_FATMSM WLANHC_DLLMAIN WLANHC_TEST"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
DiagL2SecCtlGuid
Guid = "{GUID}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
DiagL2SecCtlGuid
BitNames = "SECHC_LOG_FLAG_ASSERT SECHC_LOG_FLAG_INIT SECHC_LOG_FLAG_DIAG SECHC_LOG_FLAG_ONEX_DIAG SECHC_LOG_FLAG_REPAIR SECHC_LOG_FLAG_STATE SECHC_LOG_FLAG_EXT SECHC_LOG_FLAG_EVENT_LOG SECHC_LOG_FLAG_FUNCTION SECHC_LOG_FLAG_MEMORY SECHC_LOG_FLAG_LOCKS"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
WDiagCoreCtlGuid
Guid = "{GUID}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
WDiagCoreCtlGuid
BitNames = "WD_LOG_FLAG_INIT WD_LOG_FLAG_RPC WD_LOG_FLAG_EVENT WD_LOG_FLAG_INTERFACE WD_LOG_FLAG_CONNECTION WD_LOG_FLAG_CONTROL WD_LOG_FLAG_LOCKS WD_LOG_FLAG_MEMORY WD_LOG_FLAG_REFERENCES WD_LOG_FLAG_FUNCTION_TRACE WD_LOG_FLAG_ASSERT"
Ändert die folgenden Registrierungseinträge:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
ProxyBypass= = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
IntranetName = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
UNCAsIntranet = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing
LogSessionName = "stdout"
Einschleusungsroutine
Schleust die folgenden Dateien ein:
- %User Startup%\{random file name 1}.lnk-links to the dropped malware copy
- %User Startup%\{random file name 2}.lnk-links to the ransomnote
- %User Temp%\{random file name 3}.html-serves as ransomnote
- C:\0.tmp
- C:\1.tmp
- D:\2.tmp
- D:\3.tmp
(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Andere Details
Verschlüsselt Dateien mit den folgenden Erweiterungen:
- .dat
- .mx0
- .cd
- .pdb
- .xqx
- .old
- .cnt
- .rtp
- .qss
- .qst
- .fx0
- .fx1
- .ipg
- .ert
- .pic
- .img
- .cur
- .fxr
- .slk
- .m4u
- .mpe
- .mov
- .wmv
- .mpg
- .vob
- .mpeg
- .3g2
- .m4v
- .avi
- .mp4
- .flv
- .mkv
- .3gp
- .asf
- .m3u
- .m3u8
- .wav
- .mp3
- .m4a
- .m
- .rm
- .flac
- .mp2
- .mpa
- .aac
- .wma
- .djv
- .pdf
- .djvu
- .jpeg
- .jpg
- .bmp
- .png
- .jp2
- .lz
- .rz
- .zipx
- .gz
- .bz2
- .s7z
- .tar
- .7z
- .tgz
- .rar
- .zip
- .arc
- .paq
- .bak
- .set
- .back
- .std
- .vmx
- .vmdk
- .vdi
- .qcow
- .ini
- .accd
- .db
- .sqli
- .sdf
- .mdf
- .myd
- .frm
- .odb
- .myi
- .dbf
- .indb
- .mdb
- .ibd
- .sql
- .cgn
- .dcr
- .fpx
- .pcx
- .rif
- .tga
- .wpg
- .wi
- .wmf
- .tif
- .xcf
- .tiff
- .xpm
- .nef
- .orf
- .ra
- .bay
- .pcd
- .dng
- .ptx
- .r3d
- .raf
- .rw2
- .rwl
- .kdc
- .yuv
- .sr2
- .srf
- .dip
- .x3f
- .mef
- .raw
- .log
- .odg
- .uop
- .potx
- .potm
- .pptx
- .rss
- .pptm
- .aaf
- .xla
- .sxd
- .pot
- .eps
- .as3
- .pns
- .wpd
- .wps
- .msg
- .pps
- .xlam
- .xll
- .ost
- .sti
- .sxi
- .otp
- .odp
- .wks
- .vcf
- .xltx
- .xltm
- .xlsx
- .xlsm
- .xlsb
- .cntk
- .xlw
- .xlt
- .xlm
- .xlc
- .dif
- .sxc
- .vsd
- .ots
- .prn
- .ods
- .hwp
- .dotm
- .dotx
- .docm
- .docx
- .dot
- .cal
- .shw
- .sldm
- .txt
- .csv
- .mac
- .met
- .wk3
- .wk4
- .uot
- .rtf
- .sldx
- .xls
- .ppt
- .stw
- .sxw
- .dtd
- .eml
- .ott
- .odt
- .doc
- .odm
- .ppsm
- .xlr
- .odc
- .xlk
- .ppsx
- .obi
- .ppam
- .text
- .docb
- .wb2
- .mda
- .wk1
- .sxm
- .otg
- .oab
- .cmd
- .bat
- .h
- .asx
- .lua
- .pl
- .as
- .hpp
- .clas
- .js
- .fla
- .py
- .rb
- .jsp
- .cs
- .c
- .jar
- .java
- .asp
- .vb
- .vbs
- .asm
- .pas
- .cpp
- .xml
- .php
- .plb
- .asc
- .lay6
- .pp4
- .pp5
- .ppf
- .pat
- .sct
- .ms11
- .lay
- .iff
- .ldf
- .tbk
- .swf
- .brd
- .css
- .dxf
- .dds
- .efx
- .sch
- .dch
- .ses
- .mml
- .fon
- .gif
- .psd
- .html
- .ico
- .ipe
- .dwg
- .jng
- .cdr
- .aep
- .aepx
- .123
- .prel
- .prpr
- .aet
- .fim
- .pfb
- .ppj
- .indd
- .mhtm
- .cmx
- .cpt
- .csl
- .indl
- .dsf
- .ds4
- .drw
- .indt
- .pdd
- .per
- .lcd
- .pct
- .prf
- .pst
- .inx
- .plt
- .idml
- .pmd
- .psp
- .ttf
- .3dm
- .ai
- .3ds
- .ps
- .cpx
- .str
- .cgm
- .clk
- .cdx
- .xhtm
- .cdt
- .fmv
- .aes
- .gem
- .max
- .svg
- .mid
- .iif
- .nd
- .2017
- .tt20
- .qsm
- .2015
- .2014
- .2013
- .aif
- .qbw
- .qbb
- .qbm
- .ptb
- .qbi
- .qbr
- .2012
- .des
- .v30
- .qbo
- .stc
- .lgb
- .qwc
- .qbp
- .qba
- .tlg
- .qbx
- .qby
- .1pa
- .ach
- .qpd
- .gdb
- .tax
- .qif
- .t14
- .qdf
- .ofx
- .qfx
- .t13
- .ebc
- .ebq
- .2016
- .tax2
- .mye
- .myox
- .ets
- .tt14
- .epb
- .500
- .txf
- .t15
- .t11
- .gpc
- .qtx
- .itf
- .tt13
- .t10
- .qsd
- .iban
- .ofc
- .bc9
- .mny
- .13t
- .qxf
- .amj
- .m14
- ._vc
- .tbp
- .qbk
- .aci
- .npc
- .qbmb
- .sba
- .cfp
- .nv2
- .tfx
- .n43
- .let
- .tt12
- .210
- .dac
- .slp
- .qb20
- .saj
- .zdb
- .tt15
- .ssg
- .t09
- .epa
- .qch
- .pd6
- .rdy
- .sic
- .ta1
- .lmr
- .pr5
- .op
- .sdy
- .brw
- .vnd
- .esv
- .kd3
- .vmb
- .qph
- .t08
- .qel
- .m12
- .pvc
- .q43
- .etq
- .u12
- .hsr
- .ati
- .t00
- .mmw
- .bd2
- .ac2
- .qpb
- .tt11
- .zix
- .ec8
- .nv
- .lid
- .qmtf
- .hif
- .lld
- .quic
- .mbsb
- .nl2
- .qml
- .wac
- .cf8
- .vbpf
- .m10
- .qix
- .t04
- .qpg
- .quo
- .ptdb
- .gto
- .pr0
- .vdf
- .q01
- .fcr
- .gnc
- .ldc
- .t05
- .t06
- .tom
- .tt10
- .qb1
- .t01
- .rpf
- .t02
- .tax1
- .1pe
- .skg
- .pls
- .t03
- .xaa
- .dgc
- .mnp
- .qdt
- .mn8
- .ptk
- .t07
- .chg
- .#vc
- .qfi
- .acc
- .m11
- .kb7
- .q09
- .esk
- .09i
- .cpw
- .sbf
- .mql
- .dxi
- .kmo
- .md
- .u11
- .oet
- .ta8
- .efs
- .h12
- .mne
- .ebd
- .fef
- .qpi
- .mn5
- .exp
- .m16
- .09t
- .00c
- .qmt
- .cfdi
- .u10
- .s12
- .qme
- .int?
- .cf9
- .ta5
- .u08
- .mmb
- .qnx
- .q07
- .tb2
- .say
- .ab4
- .pma
- .defx
- .tkr
- .q06
- .tpl
- .ta2
- .qob
- .m15
- .fca
- .eqb
- .q00
- .mn4
- .lhr
- .t99
- .mn9
- .qem
- .scd
- .mwi
- .mrq
- .q98
- .i2b
- .mn6
- .q08
- .kmy
- .bk2
- .stm
- .mn1
- .bc8
- .pfd
- .bgt
- .hts
- .tax0
- .cb
- .resx
- .mn7
- .08i
- .mn3
- .ch
- .meta
- .07i
- .rcs
- .dtl
- .ta9
- .mem
- .seam
- .btif
- .11t
- .efsl
- .$ac
- .emp
- .imp
- .fxw
- .sbc
- .bpw
- .mlb
- .10t
- .fa1
- .saf
- .trm
- .fa2
- .pr2
- .xeq
- .sbd
- .fcpa
- .ta6
- .tdr
- .acm
- .lin
- .dsb
- .vyp
- .emd
- .pr1
- .mn2
- .bpf
- .mws
- .h11
- .pr3
- .gsb
- .mlc
- .nni
- .cus
- .ldr
- .ta4
- .inv
- .omf
- .reb
- .qdfx
- .pg
- .coa
- .rec
- .rda
- .ffd
- .ml2
- .ddd
- .ess
- .qbmd
- .afm
- .d07
- .vyr
- .acr
- .dtau
- .ml9
- .bd3
- .pcif
- .cat
- .h10
- .ent
- .fyc
- .p08
- .jsd
- .zka
- .hbk
- .mone
- .pr4
- .qw5
- .cdf
- .gfi
- .cht
- .por
- .qbz
- .ens
- .3pe
- .pxa
- .intu
- .trn
- .3me
- .07g
- .jsda
- .2011
- .fcpr
- .qwmo
- .t12
- .pfx
- .p7b
- .der
- .nap
- .p12
- .p7c
- .crt
- .csr
- .pem
- .gpg
- .key
Benennt verschlüsselte Dateien in folgende Namen um:
- {filename of encrypted files}.cry
Step 3
Diesen Registrierungsschlüssel löschen
[ learnMore ]
[ back ]
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CURRENT_USER\Software\{random file name}
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\CtlGuid
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\ServiceCtlGuid
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\WLanDiagCtlGuid
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\DiagL2SecCtlGuid
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\WDiagCoreCtlGuid
Registrierungsschlüssel löschen, die diese Malware/Grayware/Spyware erstellt hat:
- Öffnen Sie den Registrierungs-Editor. Klicken Sie dazu auf Start>Ausführen, geben Sie regedit in das Textfeld ein, und drücken Sie die Eingabetaste.
- Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_CURRENT_USER>Software>{random file name} - Suchen und löschen Sie den Schlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\CtlGuid - Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>ServiceCtlGuid - Suchen und löschen Sie den Schlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\WLanDiagCtlGuid - Doppelklicken Sie im linken Fensterbereich des Registrierungs-Editors auf:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Tracing>DiagL2SecCtlGuid - Suchen und löschen Sie den Schlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\WDiagCoreCtlGuid - Schließen Sie den Registrierungs-Editor.
Step 4
Diese Datei suchen und löschen
[ learnMore ]
[ back ]
Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen
Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.
- %User Startup%\{random file name 1}.lnk
- %User Startup%\{random file name 2}.lnk
- %User Temp%\{random file name 3}.html
- C:\0.tmp
- C:\1.tmp
- D:\2.tmp
- D:\3.tmp
Die Malware-/Grayware-/Spyware-Datei löschen:
- Klicken Sie mit der rechten Maustaste auf Start und dann je nach Windows Version auf Suchen... oder Finden....
- Geben Sie in das Feld Name Folgendes ein:
- %User Startup%\{random file name 1}.lnk
- %User Startup%\{random file name 2}.lnk
- %User Temp%\{random file name 3}.html
- C:\0.tmp
- C:\1.tmp
- D:\2.tmp
- D:\3.tmp
- Wählen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und drücken Sie die Eingabetaste.
- Markieren Sie die gefundene Datei, und drücken Sie UMSCHALT+ENTF, um sie endgültig zu löschen.
Step 5
Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als RANSOM_MILICRY.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Step 7
Diese Ordner suchen und löschen
[ learnMore ]
[ back ]
Aktivieren Sie unbedingt das Kontrollkästchen
Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu berücksichtigen.
Die Malware-/Grayware-/Spyware-Ordner löschen:
- Klicken Sie mit der rechten Maustaste auf Start und dann je nach Windows Version auf Suchen... oder Finden....
- Geben Sie in das Feld Name Folgendes ein:
DATA_GENERIC
Wählen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und drücken Sie die Eingabetaste. Markieren Sie den gefundenen Ordner, und drücken Sie UMSCHALT+ENTF, um ihn endgültig zu löschen. Wiederholen Sie die Schritte 2 bis 4 für die übrigen Ordner: Nehmen Sie an unserer
Umfrage teil