Ransom.Win32.CELANCYC.THCCABC
Ransom:Win32/CylanCrypt.PAA!MTB (MICROSOFT)
Windows
Type de grayware:
Ransomware
Destructif:
Non
Chiffrement:
In the wild::
Oui
Overview
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Sammelt bestimmte Informationen auf dem betroffenen Computer.
Détails techniques
Übertragungsdetails
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Schleust die folgenden Dateien ein:
- {Malware File Path}\MSVCR100.dll → Contains the logs of the ransomware
- %ProgramData%\SBOX → Contains the encryption key
- %ProgramData%\LPW4.tmp → Contains the command to shutdown or restart the system
Fügt die folgenden Prozesse hinzu:
- cmd.exe /c SCHTASKS.exe /Create /RU \"NT AUTHORITY\SYSTEM\" /sc onstart /TN \"Windows Update Beta\" /TR \"{Malware File Path}" /F"
- cmd.exe "/c ""%ProgramData%\LPW4.tmp""/SHUTDOWN" →When -power shutdown parameter is used
- cmd.exe "/c ""%ProgramData%\LPW4.tmp"" /RESTART" →When -power restart parameter is used
- cmd.exe /c SCHTASKS.exe /Delete /TN \"Windows Update Beta\" /TR \"{Malware File Path}" /F"
- cmd.exe "/c ping 127.0.0.1 -n 5 > nul & del {Malware File Path}"" → When -selfdel is used
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- Global\CylanceMutex
Autostart-Technik
Die zeitgesteuerte Aufgabe führt die Malware in folgenden Intervallen aus:
- System Startup
Datendiebstahl
Sammelt die folgenden Informationen auf dem betroffenen Computer:
- IP
- UID
- PID
- Version
- OS
- Computer name
- USername
- Domain
- RAM
- CPU
- Disk informations
Entwendete Daten
Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:
- {BLOCKED}.{BLOCKED}.{BLOCKED}.175/r1.php
- {BLOCKED}.{BLOCKED}.{BLOCKED}.175/r2.php
Andere Details
Es macht Folgendes:
- It uses WQL to delete shadow copies
- Empty RecycledBin
Solutions
Step 2
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>
Step 4
Diese Datei suchen und löschen
- {Malware File Path}\MSVCR100.dll
- %ProgramData%\SBOX
- %ProgramData%\LPW4.tmp
Step 5
Deleting Scheduled Tasks
- Öffnen Sie Windows 'Geplante Task'. Klicken Sie auf 'Start>Programme>Zubehör>Systemprogramme>Geplante Tasks'.
- Suchen Sie jeden Task, der den folgenden Wert in der Spalte 'Zeitplan' aufweist:
!!!REPLACE THIS!!! - Klicken Sie mit der rechten Maustaste auf die besagte(n) Datei(en) mit dem zuvor erwähnten Wert.
- Klicken Sie auf 'Eigenschaften'. Suchen Sie im Feld 'Ausführen' nach der folgenden Zeichenfolge:
Cmd /c /rd /s /q C: - Wenn die besagte Zeichenfolge gefunden wird, löschen Sie den Task.
Step 6
Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als Ransom.Win32.CELANCYC.THCCABC entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Participez à notre enquête!