Analisado por: Jay Garcia   
 

Trojan-Ransom.Win32.Dcryptor.g (Kaspersky); Trojan-Spy.Win32.Gaxfid (Ikarus)

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Ransomware

  • Destrutivo:
    Não

  • Criptografado:
    Não

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Fallen gelassen von anderer Malware, Aus dem Internet heruntergeladen


  Detalhes técnicos

Tipo de compactação: 1,450,496 bytes
Tipo de arquivo: EXE
Residente na memória: Não
Data de recebimento das amostras iniciais: 23 agosto 2019
Carga útil: Displays message/message boxes, Drops files, Encrypts files

Installation

Schleust die folgenden Dateien ein:

  • %System%\drivers\dcrypt.sys
  • {malware path}\dcapi.dll
  • {malware path}\dccrypt.sys
  • {malware path}\igfxen.exe - detected as PUA.Win32.DiskCrypt.A

Schleust die folgenden Dateien ein und führt sie aus:

  • {malware path}\inst32.exe - if machine is 32bit
    {malware path}\inst64.exe - if machine is 64bit

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances
DefaultInstance = dcrypt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt
Altitude = 87150

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt
Flags = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Flags = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
Hotkeys = 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config
sysbuild = 846

Fügt die folgenden Dienste hinzu und führt sie aus:

  • dcrypt

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\Instances\
dcrypt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\dcrypt\config

  Solução

Mecanismo de varredura mínima: 9.850
Primeiro arquivo padrão VSAPI: 15.334.05
Data do lançamento do primeiro padrão VSAPI: 30 agosto 2019
VSAPI OPR Pattern Version: 15.335.00
VSAPI OPR Pattern veröffentlicht am: 31 agosto 2019

Step 2

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 4

Restore your system's Master Boot Record (MBR)

To restore your system's Master Boot Record (MBR):

• On Windows 7 and Server 2008 (R2):

  1. Insert your Windows Installation DVD into the DVD drive, then press the restart button on your computer.
  2. When prompted, press any key to boot from the DVD.
  3. Depending on your Windows Installation DVD, you might be required to choose the installation language. On the Install Windows window, choose your language, locale, and keyboard layout or input method. Click Repair your computer.
  4. Select Use recovery tools that can help fix problems starting Windows. Select your installation of Windows. Click Next.
  5. If the Startup Repair window appears, click Cancel, Yes, then Finish.
  6. In the System Recovery Options menu, click Command Prompt.
  7. In the Command Prompt window, type the following then press Enter:
    BootRec.exe /fixmbr
  8. Type exit and press Enter to close the Command Prompt window.
  9. Click Restart to restart your computer normally.

• On Windows 8, 8.1, 10, and Server 2012:

  1. Insert your Windows Installation DVD in the DVD drive, then restart your computer.
  2. When prompted, press any key to boot from the DVD.
  3. Depending on your Windows Installation DVD, you might be required to select the keyboard layout. Then on the Windows Setup window, choose your language, locale, and input method. Click Next, then click Repair your computer.
  4. Click Troubleshoot>Advanced Options>Command Prompt.
  5. In the Command Prompt window, type the following then press Enter:
    BootRec.exe /fixmbr
  6. Type exit and press Enter to close the Command Prompt window.
  7. Click Continue to restart the system normally.

Step 5

Im abgesicherten Modus neu starten

[ Saber mais ]

Step 6

Diesen Registrierungsschlüssel löschen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\dcrypt
    • Instances
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\dcrypt
    • config

Step 7

Diese Datei suchen und löschen

[ Saber mais ]
Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.
  • %System%\drivers\dcrypt.sys
  • {malware path}\dcapi.dll
  • {malware path}\dccrypt.sys
  • {malware path}\igfxen.exe
  • {malware path}\inst32.exe - if machine is 32bit
  • {malware path}\inst64.exe - if machine is 64bit

Step 8

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Ransom.Win32.MCRYPT.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!