撰文: Rhena Inocencio   

 :

Ransom:JS/CryptoRaa.A (Microsoft), JS/Filecoder.RAA.E trojan (ESET)

 平台:

Windows

 整體風險評比:
 潛在威脅性:
 潛在散播風險:
 報告感染 :
 資訊暴露評比:

  • 惡意程式類型:
    Trojan

  • 具破壞性:

  • 被加密:

  • In the wild:

  總覽與描述

感染管道: 通過電子郵件

要获取此间谍软件行为的简要综述,请参考以下“威胁图”。

它的傳播途徑是藉由其他惡意程式/可能的資安威脅程式/間諜程式或惡意使用者,以垃圾郵件的方式夾帶於電子郵件訊息附件。

  詳細技術資訊

檔案大小: 158,610 bytes
檔案類型: JS
首批樣本接收日期: 2016年7月18日

到達詳細資訊

它的傳播途徑是藉由其他惡意程式/可能的資安威脅程式/間諜程式或惡意使用者,以垃圾郵件的方式夾帶於電子郵件訊息附件。

自動啟動技術

它會新增下列登錄項目,使其在每次系統啟動時自動執行:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = "{malware path and filename}.js argument"

其他系統修改

它會新增下列登錄機碼:

HKEY_CURRENT_USER\RAA\Raa-fnl

HKEY_CURRENT_USER\RAA\Raa-DI

它會在安裝期間新增下列登錄項目:

HKEY_CURRENT_USER\RAA\Raa-fnl
(Default) = "beenFinished"

HKEY_CURRENT_USER\RAA\Raa-DI
(Default) = "{victim ID}"

它會刪除下列登錄機碼:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS

(Note: This is the Windows Volume Shadow Copy (VSS) Service)

其他詳細資訊

它會加密副檔名如下的檔案:

  • .doc
  • .xls
  • .rtf
  • .pdf
  • .dbf
  • .jpg
  • .dwg
  • .cdr
  • .psd
  • .cd
  • .mdb
  • .png
  • .lcd
  • .zip
  • .rar
  • .locked
  • ~
  • $
  • csv

它會放置下列檔案元件:

  • %My Documents%\doc_attached_{5 random characters} - word document containing fake error message in Russian language
  • %Desktop%\!!!README!!!{random characters}.rtf - ransom note
  • {Drive}:\!!!README!!!{random characters}.rtf - ransom note

    (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(注意:%Desktop% 是目前使用者的桌面,通常是 C:\Windows\Profiles\{user name}\Desktop(Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT),以及 C:\Documents and Settings\{User Name}\Desktop(Windows 2000、XP 和 Server 2003)。)

  解決方案

最低掃瞄引擎: 9.800
第一個 VSAPI 病毒碼檔案: 12.660.05
第一個 VSAPI 病毒碼發行日期: 2016年7月18日
VSAPI OPR 病毒碼版本: 12.661.00
VSAPI OPR 病毒碼發行日期: 2016年7月19日

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 3

使用您的趨勢科技產品掃瞄電腦,並注意所偵測到如 RANSOM_JSRAA.D 的檔案

Step 4

重新啟動至安全模式

[ 學到更多 ]

Step 5

刪除此登錄值

[ 學到更多 ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • (default) = "{malware path and filename}.js argument"

Step 6

刪除此登錄機碼

[ 學到更多 ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章

  • In HKEY_CURRENT_USER
    • RAA
336.2

如果要刪除此惡意程式/可能的資安威脅程式/間諜程式建立的登錄機碼,請執行下列動作:

  1. 開啟「登錄編輯程式」。如果要執行此動作,請按一下「開始∣執行」,在提供的文字方塊中輸入 regedit,然後按 Enter 鍵。
  2. 在「登錄編輯程式」視窗左邊的窗格中,按兩下下列登錄機碼:
    DATA_GENERIC_KEY
  3. 繼續在左邊的窗格中尋找並刪除下列機碼:
    DATA_GENERIC_KEYDEL
  4. 關閉「登錄編輯程式」。

Step 7

搜尋並刪除這些檔案

[ 學到更多 ]
有些可能是隱藏的元件檔案。請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的檔案和資料夾。  
  • %My Documents%\doc_attached_{5 random characters}
  • %Desktop%\!!!README!!!{random characters}.rtf
  • {Drive}:\!!!README!!!{random characters}.rtf
DATA_GENERIC_FILENAME_1
  • 在「查詢」下拉式清單中選取「我的電腦」,然後按 Enter 鍵。
  • 找到檔案之後,請選取檔案,然後按 SHIFT+DELETE 以永久刪除檔案。
  • 針對其餘的檔案重複步驟 2 到 4:
       
      • %My Documents%\doc_attached_{5 random characters}
      • %Desktop%\!!!README!!!{random characters}.rtf
      • {Drive}:\!!!README!!!{random characters}.rtf
  • Step 8

    重新啟動至標準模式,並使用您的趨勢科技產品掃瞄電腦是否有偵測到如 RANSOM_JSRAA.D 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


    說說您對安全威脅百科的想法