撰文: Francis Xavier Antazo   

 :

Ransom:MSIL/Ryzerlo.A (Microsoft); a variant of MSIL/Filecoder.Y (ESET);

 平台:

Windows

 整體風險評比:
 潛在威脅性:
 潛在散播風險:
 報告感染 :
 資訊暴露評比:

  • 惡意程式類型:
    Trojan

  • 具破壞性:

  • 被加密:

  • In the wild:

  總覽與描述

感染管道: 從互聯網上下載

要获取此间谍软件行为的简要综述,请参考以下“威胁图”。

它會放置 AUTORUN.INF 檔案,以在使用者存取受影響系統的磁碟機時自動執行其所放置的副本。

它會連線至特定網站以傳送和接收資訊。

  詳細技術資訊

檔案大小: 638,464 bytes
檔案類型: EXE
記憶體常駐型:
首批樣本接收日期: 2016年8月13日

安裝

它會放置下列檔案:

  • C:\Users\{username}\Desktop\هام جدا.txt -> ransom note
  • C:\Users\{username}\Desktop\pk -> key
  • %User Startup%\{random characters}.exe -> (to be detected as Ransom_POGOTEAR.A)

(注意:%User Startup% 是目前使用者的「啟動」資料夾,通常是 C:\Windows\Profiles\{user name}\「開始」功能表\程式集\啟動(Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\「開始」功能表\程式集\啟動 (Windows NT),以及 C:\Documents and Settings\{User name}\「開始」功能表\程式集\啟動。)

它會留下含有下列內容的文字檔做為拼湊文字 (ransom note):

  • (: لقد تم تشفير ملفاتكم، لفك الشفرة فلكسي موبيليس للعنوان التالي me.{BLOCKED}20152015@mt2015.com وشكرا على كرمكم مسبقا

自動啟動技術

它會新增下列登錄項目,使其在每次系統啟動時自動執行:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
PokemonGo = "{Malware file path and file name}"

其他系統修改

它會新增下列登錄項目:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
SpecialAccounts\UserList
Hack3r = "0"

傳播

它會將本身的副本放置到下列磁碟機:

  • {Destination Root*}\PokemonGo.exe
    • All fixed drives, removable drives, shared folders and mapped network drives

它會放置 AUTORUN.INF 檔案,以在使用者存取受影響系統的磁碟機時自動執行其所放置的副本。

所述的 .INF 文件包含下列字符串:

[AutoRun]
OPEN=PokemonGo.exe
ICON=PokemonGo.exe

處理程序終止

如果在受影響系統的記憶體中發現下列處理程序正在執行,它會終止那些處理程序:

  • SMΔRTP

其他詳細資訊

它會連線至下列網站以傳送和接收資訊:

  • http://{BLOCKED}.{BLOCKED}.0.169/PokemonGo/write.php?info={computername}-{username} {key}<br>

它會加密副檔名如下的檔案:

  • .txt
  • .rtf
  • .doc
  • .pdf
  • .mht
  • .docx
  • .xls
  • .xlsx
  • .ppt
  • .pptx
  • .odt
  • .jpg
  • .png
  • .csv
  • .sql
  • .mdb
  • .sln
  • .php
  • .asp
  • .aspx
  • .html
  • .xml
  • .psd
  • .htm
  • .gif
  • .png

它會使用下列名稱重新命名加密的檔案:

  • {original file name and file extension}.locked

  解決方案

最低掃瞄引擎: 9.800
第一個 VSAPI 病毒碼檔案: 12.716.04
第一個 VSAPI 病毒碼發行日期: 2016年8月15日
VSAPI OPR 病毒碼版本: 12.717.00
VSAPI OPR 病毒碼發行日期: 2016年8月16日

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 3

使用您的趨勢科技產品掃瞄電腦,以刪除所偵測到如 RANSOM_POGOTEAR.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。

Step 4

重新啟動至安全模式

[ 學到更多 ]

Step 5

搜尋並刪除此檔案

[ 學到更多 ]
有些可能是隱藏的元件檔案。請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的檔案和資料夾。  
  • C:\Users\{username}\Desktop\هام جدا.txt
  • C:\Users\{username}\Desktop\pk

Step 6

刪除此登錄值

[ 學到更多 ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • PokemonGo = "{Malware file path and file name}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList
    • Hack3r = "0"

Step 7

搜尋並刪除由 RANSOM_POGOTEAR.A 所建立且包含這些字串的 AUTORUN.INF 檔案

[ 學到更多 ]
  • [AutoRun]
  • OPEN=PokemonGo.exe
  • ICON=PokemonGo.exe

Step 8

重新啟動至標準模式,並使用您的趨勢科技產品掃瞄電腦是否有偵測到如 RANSOM_POGOTEAR.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


說說您對安全威脅百科的想法