Ransom.Win32.LOKILOCKER.YXBIG
Windows
Type de grayware:
Ransomware
Destructif:
Non
Chiffrement:
Oui
In the wild::
Oui
Overview
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Détails techniques
Übertragungsdetails
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Schleust die folgenden Dateien ein:
- %User Temp%\{Random characters}.loki -> set as the desktop background
- {Malware directory}\logs.txt -> logs information regarding the sample's operation
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)
Fügt die folgenden Prozesse hinzu:
- vssadmin delete shadows /all /quiet
- wmic shadowcopy delete
- wbadmin delete catalog -quiet
- bcdedit /set {default} bootstatuspolicy ignoreallfailures
- bcdedit /set {default} recoveryenabled no
- netsh advfirewall set currentprofile state off
- netsh firewall set opmode mode=disable
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- LokiLocker
Autostart-Technik
Schleust die folgenden Dateien ein:
- %User Startup%\winlogon.exe
- %Common Startup%\winlogon.exe
(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Common Startup% ist der gemeinsame Autostart-Ordner des Systems, normalerweise C:\Windows\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\All Users\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart unter Windows 2000, XP und Server 2003.)
Andere Systemänderungen
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_CURRENT_USER\Software\Loki
HKEY_CURRENT_USER\Software\Loki
public = {hex bytes}
HKEY_CURRENT_USER\Software\Loki
full = {hex bytes}
Ändert die folgenden Registrierungseinträge:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real Time Protection
DisableBehaviorMonitoring = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real Time Protection
DisableOnAccessProtection = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real Time Protection
DisableScanOnRealtimeEnable = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
legalnoticecaption = Encrypted by Loki locker
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\OEMInformation
Manufacturer = Encrypted by Loki locker
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\OEMInformation
SupportPhone = All your files have been encrypted . . . . . . . @ProtonMail.Com
Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{Random characters}.loki
Prozessbeendigung
Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:
- wxserver
- wxserverview
- sqlservr
- ragui
- supervise
- culture
- rtvscan
- defwatch
- sqlbrowser
- winword
- qbw32
- qbdbmgr
- qbupdate
- qbcfmonitorservice
- axlbridge
- qbidpservice
- httpd
- fdlauncher
- msdtsrvr
- tomcat6
- zhudongfangyu
- vmware-usbarbitator64
- vmware-converter
- dbsrv12
- notepad
- defwatch
- ccevtmgr
- ccsetmgr
- savroam
- sqlserv
- sqlagent
- sqladhlp
- culserver
- rtvscan
- sqlbrowser
- sqladhlp
- qbidpservice
- quickboooks.fcs
- qbcfmonitorservice
- sqlwriter
- msmdsrv
- tomcat6
- zhundongfangyu
- vmware-usbarbitator64
- vmware-converter
- dbsrv12
- dbeng8
- wrapper
- mssqlserver
- mssql$contoso1
- msdtc
- sqlserveragent
- vds
Datendiebstahl
Folgende Daten werden gesammelt:
- Unique ID
- Disk Space
Entwendete Daten
Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:
- {BLOCKED}cker.one/index.php
Andere Details
Es macht Folgendes:
- It checks for 'loki.txt' as its configuration file:
- loki.txt contains the following configurations:
- nocdrive
- update
- nostartup
- disabletask
- clast
- norun
- shutdown
- It empties the recycle bin
- It changes the encrypted volume name to:
- Locked by Loki {Volume name}
- It shows the following message box after its encryption:
- It changes the Legal Notice Caption and Legal Notice Text to the following:
Solutions
Step 2
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>
Step 4
Diesen geänderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real Time Protection
- DisableBehaviorMonitoring = 1
- DisableBehaviorMonitoring = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real Time Protection
- DisableOnAccessProtection = 1
- DisableOnAccessProtection = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real Time Protection
- DisableScanOnRealtimeEnable = 1
- DisableScanOnRealtimeEnable = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
- DisableAntiSpyware = 1
- DisableAntiSpyware = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- legalnoticecaption = Encrypted by Loki locker
- legalnoticecaption = Encrypted by Loki locker
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\OEMInformation
- Manufacturer = Encrypted by Loki locker
- Manufacturer = Encrypted by Loki locker
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\OEMInformation
- SupportPhone = All your files have been encrypted . . . . . . . @ProtonMail.Com
- SupportPhone = All your files have been encrypted . . . . . . . @ProtonMail.Com
Step 5
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CURRENT_USER\Software\Loki
- "" = ""
- "" = ""
- In HKEY_CURRENT_USER\Software\Loki
- public = {hex bytes}
- public = {hex bytes}
- In HKEY_CURRENT_USER\Software\Loki
- full = {hex bytes}
- full = {hex bytes}
Step 6
Diese Datei suchen und löschen
- %User Temp%\{Random characters}.loki
- {Malware directory}\logs.txt
- %User Startup%\winlogon.exe
- %Common Startup%\winlogon.exe
Step 7
Desktop-Eigenschaften zurücksetzen
Step 8
Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als Ransom.Win32.LOKILOCKER.YXBIG entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Step 9
Restore encrypted files from backup.
Participez à notre enquête!