Ransom.Win32.CLOP.NV
Trojan:Win32/BunituCrypt.GKM!MTB (MICROSOFT); W32/Qbot.CV!tr (FORTINET)
Windows
Type de grayware:
Ransomware
Destructif:
Non
Chiffrement:
Oui
In the wild:
Oui
Overview
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Détails techniques
Précisions sur l'apparition de l'infection
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Introduit les fichiers suivants :
- {Original Filename w/ Extension}.CIIp → Contains Encrypted Encryption Key.
Ajoute les processus suivants :
- {Malware Full Path} runrun
Ajoute les algorithmes Mutex suivants afin d''éviter que plusieurs de ses duplicats ne s''exécutent simultanément :
- ProgramPro#666#666#667
Autres précisions
Il fait ce qui suit:
- It will only proceed to its malicious routine if it is ran as a service.
- It encrypts FIXED and REMOVABLE drives.
- It will attempt to encrypt found Remote Shared Folders.
- It encrypts files depending on their filesize:
- For files with a size that is less than or equal to 17 kilobytes (0x4268 bytes), it will skip encrypting these files.
- For files with a size that is greater than 17 kilobytes (0x4268 bytes) but less than 2.13 MB (0x2089D0 bytes), it would encrypt the file from the 0x4000 position to the end of file.
- For files with a size that is greater than 2.13 MB (0x2089D0 bytes), it would encrypt the file from the 0x10000 position to the 0x2089D0 position.
- Its keystore file ({Original Filename w/ Extension}.CIIp) contains the following:
- Cllp^_-{Encrypted Encryption Key}
Solutions
Step 2
En cas d"utilisation de Windows ME ou XP, avant de procéder à un scan, assurez-vous de désactiver l’option de restauration du système afin que l’opération de scan soit complète sur votre ordinateur.
Step 3
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 4
Redémarrage en mode sans échec
Step 5
Recherche et suppression de ces fichiers
- {Encrypted Directory}\README_README.txt
- {Original Filename w/ Extension}.CIIp
- {Encrypted Directory}\README_README.txt
- {Original Filename w/ Extension}.CIIp
Step 6
Redémarrez en mode normal et effectuez un scan de l"ordinateur à l"aide de votre produit Trend Micro afin de rechercher les fichiers détectés comme étant Ransom.Win32.CLOP.NV Si les fichiers détectés ont déjà été nettoyés, supprimés ou placés en quarantaine par votre produit Trend Micro, aucune autre procédure n"est nécessaire. Vous pouvez simplement choisir de supprimer les fichiers en quarantaine. Veuillez consulter cette page de base de connaissances pour plus d"informations.
Step 7
Restore encrypted files from backup.
Participez à notre enquête!