撰文: Christopher Daniel So   
 修訂: Mark Joseph Manahan

 :

Trojan:Win32/Crowti.A (Microsoft) ,a variant of Win32/Injector.BADI trojan (Eset)

 平台:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 整體風險評比:
 潛在威脅性:
 潛在散播風險:
 報告感染 :
 資訊暴露評比:

  • 惡意程式類型:
    Trojan

  • 具破壞性:

  • 被加密:
     

  • In the wild:

  總覽與描述

感染管道: 下降了其他惡意軟件, 從互聯網上下載

它的傳播途徑是藉由其他惡意程式/可能的資安威脅程式/間諜程式或惡意使用者,以垃圾郵件的方式夾帶於電子郵件訊息附件。

它會收集受影響之電腦上的特定資訊。

它會連線至特定網站以傳送和接收資訊。

  詳細技術資訊

檔案大小: 241,664 bytes
檔案類型: EXE
記憶體常駐型:
首批樣本接收日期: 2014年3月29日

到達詳細資訊

它的傳播途徑是藉由其他惡意程式/可能的資安威脅程式/間諜程式或惡意使用者,以垃圾郵件的方式夾帶於電子郵件訊息附件。

安裝

它會放置下列檔案:

  • %Desktop%\HOW_DECRYPT.TXT
  • %Desktop%\HOW_DECRYPT.HTML
  • %Desktop%\HOW_DECRYPT.URL
  • %User Startup%\HOW_DECRYPT.TXT
  • %User Startup%\HOW_DECRYPT.HTML
  • %User Startup%\HOW_DECRYPT.URL

(注意:%Desktop% 是目前使用者的桌面,通常是 C:\Windows\Profiles\{user name}\Desktop(Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT),以及 C:\Documents and Settings\{User Name}\Desktop(Windows 2000、XP 和 Server 2003)。. %User Startup% 是目前使用者的「啟動」資料夾,通常是 C:\Windows\Profiles\{user name}\「開始」功能表\程式集\啟動(Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\「開始」功能表\程式集\啟動 (Windows NT),以及 C:\Documents and Settings\{User name}\「開始」功能表\程式集\啟動。)

它會將本身的下列副本放置到受影響的系統:

  • %System Root%{7 characters from UID}\{7 characters from UID}.exe
  • %Application Data%\{7 characters from UID}.exe
  • %User Startup%\{7 characters from UID}.exe

(注意:%System Root% 是根資料夾,通常是 C:\。這也是作業系統所在的位置。. %Application Data% 是目前使用者的 Application Data 資料夾,通常是 C:\Windows\Profiles\{user name}\Application Data(Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT),以及 C:\Documents and Settings\{user name}\Local Settings\Application Data(Windows 2000、XP 和 Server 2003)。. %User Startup% 是目前使用者的「啟動」資料夾,通常是 C:\Windows\Profiles\{user name}\「開始」功能表\程式集\啟動(Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\「開始」功能表\程式集\啟動 (Windows NT),以及 C:\Documents and Settings\{User name}\「開始」功能表\程式集\啟動。)

它會建立下列資料夾:

  • %System Root%\{7 characters from UID}

(注意:%System Root% 是根資料夾,通常是 C:\。這也是作業系統所在的位置。)

自動啟動技術

它會新增下列登錄項目,使其在每次系統啟動時自動執行:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{6 characters from UID} = "%System Root%{7 characters from UID}\{7 characters from UID}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{7characters from UID} = "%Application Data%\{7 characters from UID}.exe"

其他系統修改

它會新增下列登錄機碼:

HKEY_CURRENT_USER\Software\{UID}

HKEY_CURRENT_USER\Software\{UID}
HKEY_CURRENT_USER\Software\{UID}\DISKS =

HKEY_CURRENT_USER\Software\{UID}
PROTECTED =

它會新增下列登錄項目:

HKEY_CURRENT_USER\Software\{UID}\
PROTECTED\{Path of encrypted file}
{Filename of encrypted file} = ""

資訊遭竊

它會收集受影響之電腦上的下列資訊:

  • Unique Identifier (UID)
  • Machine Screenshot

其他詳細資訊

它會連線至下列網站以傳送和接收資訊:

  • http://{BLOCKED}esraka.com/{random alphanumeric characters}
  • http://{BLOCKED}azerbaijan.com/{random alphanumeric characters}
  • http://{BLOCKED}zasamvel.com/{random alphanumeric characters}

  解決方案

最低掃瞄引擎: 9.700
第一個 VSAPI 病毒碼檔案: 10.678.01
第一個 VSAPI 病毒碼發行日期: 2014年3月20日

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 2

使用您的趨勢科技產品掃瞄電腦,並注意所偵測到如 TROJ_CRYPTRBIT.H 的檔案

Step 3

重新啟動至安全模式

[ 學到更多 ]

Step 4

刪除此登錄機碼

[ 學到更多 ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章

  • In HKEY_CURRENT_USER\Software
    • {UID}

Step 5

搜尋並刪除此資料夾

[ 學到更多 ]
請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的資料夾。
  • %System Root%\{random name}

Step 6

搜尋並刪除這些檔案

[ 學到更多 ]
有些可能是隱藏的元件檔案。請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的檔案和資料夾。
  • %Desktop%\HOW_DECRYPT.TXT
  • %Desktop%\HOW_DECRYPT.HTML
  • %Desktop%\HOW_DECRYPT.URL
  • %User Startup%\HOW_DECRYPT.TXT
  • %User Startup%\HOW_DECRYPT.HTML
  • %User Startup%\HOW_DECRYPT.URL
  • {Folder Path and Name}\HOW_DECRYPT.TXT
  • {Folder Path and Name}\HOW_DECRYPT.HTML
  • {Folder Path and Name}\HOW_DECRYPT.URL
DATA_GENERIC_FILENAME_1
  • 在「查詢」下拉式清單中選取「我的電腦」,然後按 Enter 鍵。
  • 找到檔案之後,請選取檔案,然後按 SHIFT+DELETE 以永久刪除檔案。
  • 針對其餘的檔案重複步驟 2 到 4:
      • %Desktop%\HOW_DECRYPT.TXT
      • %Desktop%\HOW_DECRYPT.HTML
      • %Desktop%\HOW_DECRYPT.URL
      • %User Startup%\HOW_DECRYPT.TXT
      • %User Startup%\HOW_DECRYPT.HTML
      • %User Startup%\HOW_DECRYPT.URL
      • {Folder Path and Name}\HOW_DECRYPT.TXT
      • {Folder Path and Name}\HOW_DECRYPT.HTML
      • {Folder Path and Name}\HOW_DECRYPT.URL
  • Step 7

    重新啟動至標準模式,並使用您的趨勢科技產品掃瞄電腦是否有偵測到如 TROJ_CRYPTRBIT.H 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


    說說您對安全威脅百科的想法