撰文: Rhena Inocencio   

 :

JS/TrojanDropper.Agent.NCS (ESET), Trojan:JS/CryptoRa.A (F-Secure), JS/Ransom.RAA!tr (Fortinet)

 平台:

Windows

 整體風險評比:
 潛在威脅性:
 潛在散播風險:
 報告感染 :
 資訊暴露評比:

  • 惡意程式類型:
    Trojan

  • 具破壞性:

  • 被加密:

  • In the wild:

  總覽與描述

感染管道: 通過電子郵件

要获取此间谍软件行为的简要综述,请参考以下“威胁图”。

它的傳播途徑是藉由其他惡意程式/可能的資安威脅程式/間諜程式或惡意使用者,以垃圾郵件的方式夾帶於電子郵件訊息附件。

  詳細技術資訊

檔案大小: 572,952 bytes
檔案類型: JS
記憶體常駐型:
首批樣本接收日期: 2016年6月14日

到達詳細資訊

它的傳播途徑是藉由其他惡意程式/可能的資安威脅程式/間諜程式或惡意使用者,以垃圾郵件的方式夾帶於電子郵件訊息附件。

自動啟動技術

它會新增下列登錄項目,使其在每次系統啟動時自動執行:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = "{malware path and filename}.js argument"

其他系統修改

它會新增下列登錄機碼:

HKEY_CURRENT_USER\RAA\Raa-fnl

它會刪除下列登錄機碼:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS

(Note: This is the Windows Volume Shadow Copy (VSS) Service)

其他詳細資訊

它會加密副檔名如下的檔案:

  • doc
  • xls
  • rft
  • pdf
  • dbf
  • jpg
  • dwg
  • cdr
  • psd
  • cd
  • mdb
  • png
  • lcd
  • zip
  • rar
  • csv

它會放置下列檔案元件:

  • %Desktop%\!!!README!!!{unique ID}.rtf - ransom note
  • %My Documents%\doc_attached_{5 random characters} - word document
  • %My Documents%\st.exe – detected as TSPY_FAREIT.RAA

    (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

  解決方案

最低掃瞄引擎: 9.800
第一個 VSAPI 病毒碼檔案: 12.590.07
第一個 VSAPI 病毒碼發行日期: 2016年6月14日
VSAPI OPR 病毒碼版本: 12.591.00
VSAPI OPR 病毒碼發行日期: 2016年6月15日

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 3

移除 RANSOM_JSRAA.A 放置/下載的惡意程式檔案

如果要移除 BHO 機碼,請執行下列動作:

  1. 關閉所有開啟的 Internet 瀏覽器視窗的實體。
  2. 開啟命令提示字元視窗。按一下「開始∣執行」。
    • 在 Windows 98 和 ME 中,輸入
    COMMAND,然後按 Enter 鍵。
    • 在 Windows NT、2000、XP 和 Server 2003 中,輸入
    CMD,然後按 Enter 鍵。
  3. 在命令提示字元中,輸入下列命令,然後按 Enter 鍵:
    CD
DATA_GENERIC_PATH
  • 繼續在命令提示字元中輸入下列命令,然後按 Enter 鍵:
    • 在 Windows 98 和 ME 中,輸入
    RUNDLL DATA_GENERIC_FILENAME ,DllUnregisterServer
    • 在 Windows NT、2000、XP 和 Server 2003 中,輸入
    REGSVR32 DATA_GENERIC_FILENAME /U
  • 當系統提示時,請按一下「是」或「確定」。
  • 關閉命令提示字元。
  • Step 4

    使用您的趨勢科技產品掃瞄電腦,並注意所偵測到如 RANSOM_JSRAA.A 的檔案

    Step 5

    重新啟動至安全模式

    [ 學到更多 ]

    Step 6

    刪除此登錄值

    [ 學到更多 ]

    重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章

    • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
      • (default) = "{malware path and filename}.js argument"

    Step 7

    刪除此登錄機碼

    [ 學到更多 ]

    重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章

    • In HKEY_CURRENT_USER
      • RAA
    336.2

    如果要刪除此惡意程式/可能的資安威脅程式/間諜程式建立的登錄機碼,請執行下列動作:

    1. 開啟「登錄編輯程式」。如果要執行此動作,請按一下「開始∣執行」,在提供的文字方塊中輸入 regedit,然後按 Enter 鍵。
    2. 在「登錄編輯程式」視窗左邊的窗格中,按兩下下列登錄機碼:
      DATA_GENERIC_KEY
    3. 繼續在左邊的窗格中尋找並刪除下列機碼:
      DATA_GENERIC_KEYDEL
    4. 關閉「登錄編輯程式」。

    Step 8

    重新啟動至標準模式,並使用您的趨勢科技產品掃瞄電腦是否有偵測到如 RANSOM_JSRAA.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


    說說您對安全威脅百科的想法