Ransom.Win32.YANLUOWANG.THLOCBA
Ransom:Win32/Yanluow.A (MICROSOFT)
Windows
Malware-Typ:
Ransomware
Zerstrerisch?:
Nein
Verschlsselt?:
Nein
In the wild::
Ja
Überblick
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Technische Details
Übertragungsdetails
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Fügt die folgenden Prozesse hinzu:
- Terminate running virtual machines
- "/c powershell -command \"Get-VM | Stop-VM -Force\""
- Terminate Services
- %System%\cmd.exe net stop MSSQLServerADHelper100
- %System%\cmd.exe net stop MSSQL$ISARS
- %System%\cmd.exe net stop MSSQL$MSFW
- %System%\cmd.exe net stop SQLAgent$ISARS
- %System%\cmd.exe net stop SQLAgent$MSFW
- %System%\cmd.exe net stop SQLBrowser
- %System%\cmd.exe net stop ReportServer$ISARS
- %System%\cmd.exe net stop SQLWriter
- %System%\cmd.exe net stop WinDefend
- %System%\cmd.exe net stop mr2kserv
- %System%\cmd.exe net stop MSExchangeADTopology
- %System%\cmd.exe net stop MSExchangeFBA
- %System%\cmd.exe net stop MSExchangeIS
- %System%\cmd.exe net stop MSExchangeSA
- %System%\cmd.exe net stop ShadowProtectSvc
- %System%\cmd.exe net stop SPAdminV4
- %System%\cmd.exe net stop SPTimerV4
- %System%\cmd.exe net stop SPTraceV4
- %System%\cmd.exe net stop SPUserCodeV4
- %System%\cmd.exe net stop SPWriterV4
- %System%\cmd.exe net stop SPSearch4
- %System%\cmd.exe net stop MSSQLServerADHelper100
- %System%\cmd.exe net stop IISADMIN
- %System%\cmd.exe net stop firebirdguardiandefaultinstance
- %System%\cmd.exe net stop ibmiasrw
- %System%\cmd.exe net stop QBCFMonitorService
- %System%\cmd.exe net stop QBVSS
- %System%\cmd.exe net stop QBPOSDBServiceV12
- %System%\cmd.exe net stop "IBM Domino Server (CProgramFilesIBMDominodata)"
- %System%\cmd.exe net stop "IBM Domino Diagnostics (CProgramFilesIBMDomino)"
- %System%\cmd.exe net stop IISADMIN
- %System%\cmd.exe net stop "Simply Accounting Database Connection Manager"
- %System%\cmd.exe net stop QuickBooksDB1
- %System%\cmd.exe net stop QuickBooksDB2
- %System%\cmd.exe net stop QuickBooksDB3
- %System%\cmd.exe net stop QuickBooksDB4
- %System%\cmd.exe net stop QuickBooksDB5
- %System%\cmd.exe net stop QuickBooksDB6
- %System%\cmd.exe net stop QuickBooksDB7
- %System%\cmd.exe net stop QuickBooksDB8
- %System%\cmd.exe net stop QuickBooksDB9
- %System%\cmd.exe net stop QuickBooksDB10
- %System%\cmd.exe net stop QuickBooksDB11
- %System%\cmd.exe net stop QuickBooksDB12
- %System%\cmd.exe net stop QuickBooksDB13
- %System%\cmd.exe net stop QuickBooksDB14
- %System%\cmd.exe net stop QuickBooksDB15
- %System%\cmd.exe net stop QuickBooksDB16
- %System%\cmd.exe net stop QuickBooksDB17
- %System%\cmd.exe net stop QuickBooksDB18
- %System%\cmd.exe net stop QuickBooksDB19
- %System%\cmd.exe net stop QuickBooksDB20
- %System%\cmd.exe net stop QuickBooksDB21
- %System%\cmd.exe net stop QuickBooksDB22
- %System%\cmd.exe net stop QuickBooksDB23
- %System%\cmd.exe net stop QuickBooksDB24
- %System%\cmd.exe net stop QuickBooksDB25
- Display ransomnote
- %System%\cmd.exe /c for /l %x in (1,1,3) do start wordpad.exe /p {Malware Directory}\README.txt
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)
Prozessbeendigung
Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:
- Terminate Process that matches the following string:
- mysql*
- dsa*
- veeam*
- chrome*
- iexplore*
- firefox*
- outlook*
- excel*
- outlook*
- taskmgr*
- tasklist*
- Ntrtscan*
- ds_monitor*
- Notifier*
- putty*
- ssh*
- TmListen*
- iVPAgent*
- CNTAoSMgr*
- IBM*
- bes10*
- black*
- robo*
- copy*
- sql
- store.exe
- sql*
- vee*
- wrsa*
- wrsa.exe
- postg*
Andere Details
Es macht Folgendes:
- It requires the following password to execute
- D86BDXL9N3H
- It encrypts the files in the specified directory
Lösungen
Step 2
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>
Step 4
Dateien erkennen und deaktivieren, die als Ransom.Win32.YANLUOWANG.THLOCBA entdeckt wurden
- Für Windows 98 und ME Benutzer: Der Windows Task-Manager zeigt möglicherweise nicht alle aktiven Prozesse an. Verwenden Sie in diesem Fall einen Prozess-Viewer eines Drittanbieters, vorzugsweise Process Explorer, um die Malware-/Grayware-/Spyware-Datei zu beenden. Dieses Tool können Sie hier. herunterladen.
- Wenn die entdeckte Datei im Windows Task-Manager oder Process Explorer angezeigt wird, aber nicht gelöscht werden kann, starten Sie Ihren Computer im abgesicherten Modus neu. Klicken Sie auf diesen Link, um alle erforderlichen Schritte anzuzeigen.
- Wenn die entdeckte Datei nicht im Windows Task-Manager oder im Process Explorer angezeigt wird, fahren Sie mit den nächsten Schritten fort.
Step 5
Diese Dateien suchen und löschen
- {Encrypted Directory}\README.txt
- {Malware Directory}\README.txt
- {Encrypted Directory}\README.txt
- {Malware Directory}\README.txt
Step 6
Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als Ransom.Win32.YANLUOWANG.THLOCBA entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Step 7
Restore encrypted files from backup.
Nehmen Sie an unserer Umfrage teil