撰文: Michael Jay Villanueva   

 :

Trojan:Win32/Dynamer!ac (Microsoft); Ransom.KozyJozy (Malwarebytes); Trojan-Ransom.MSIL.Geograph.r (Kaspersky)

 平台:

Windows

 整體風險評比:
 潛在威脅性:
 潛在散播風險:
 報告感染 :
 資訊暴露評比:

  • 惡意程式類型:
    Trojan

  • 具破壞性:

  • 被加密:
     

  • In the wild:

  總覽與描述

感染管道: 從互聯網上下載, 下降了其他惡意軟件

要获取此间谍软件行为的简要综述,请参考以下“威胁图”。

  詳細技術資訊

檔案大小: 143,872 bytes
檔案類型: EXE
記憶體常駐型:
首批樣本接收日期: 2016年6月21日

安裝

它會放置下列元件檔案:

  • %User Profile%\w.jpg - ransom note

其他系統修改

它會新增下列登錄項目:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
wall = %User Profile%\w.jpg

其他詳細資訊

它會加密副檔名如下的檔案:

  • .1cd
  • .7z
  • .accdb
  • .arj
  • .bmp
  • .cd
  • .cdr
  • .dbf
  • .doc
  • .docx
  • .epf
  • .jpeg
  • .jpg
  • .ldf
  • .max
  • .md
  • .mdb
  • .mdf
  • .odb
  • .odg
  • .ods
  • .odt
  • .pdf
  • .png
  • .ppt
  • .pptx
  • .psd
  • .rar
  • .rtf
  • .tar
  • .tif
  • .xls
  • .xlsx
  • .zip

它會使用下列名稱重新命名加密的檔案:

  • {Original Filename}.31392E30362E32303136_{Key_ID}_LSBJ1

  解決方案

最低掃瞄引擎: 9.800
第一個 VSAPI 病毒碼檔案: 12.604.08
第一個 VSAPI 病毒碼發行日期: 2016年6月21日
VSAPI OPR 病毒碼版本: 12.605.00
VSAPI OPR 病毒碼發行日期: 2016年6月22日

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 3

刪除此登錄值

[ 學到更多 ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章

 
  • In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • wall = %User Profile%\w.jpg

Step 4

搜尋並刪除這些檔案

[ 學到更多 ]
有些可能是隱藏的元件檔案。請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的檔案和資料夾。
  • %User Profile%\w.jpg
DATA_GENERIC_FILENAME_1
  • 在「查詢」下拉式清單中選取「我的電腦」,然後按 Enter 鍵。
  • 找到檔案之後,請選取檔案,然後按 SHIFT+DELETE 以永久刪除檔案。
  • 針對其餘的檔案重複步驟 2 到 4:
      • %User Profile%\w.jpg
  • Step 5

    使用您的趨勢科技產品掃瞄電腦,以刪除所偵測到如 RANSOM_JOKOZY.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


    說說您對安全威脅百科的想法