RANSOM_AVCRYPT.A
Troj/AVCrypt-A(Sophos_Lite), Ransom:Win32/Pactelung.A (Microsoft)
Windows
Type de grayware:
Ransomware
Destructif:
Non
Chiffrement:
Non
In the wild::
Oui
Overview
Löscht sich nach der Ausführung selbst.
Détails techniques
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %Application Data%\{User name}.exe
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Schleust die folgenden Dateien ein:
- %Application Data%\+{Random digits}.bmp - Wallpaper notifying the user that his/her data is encrypted
- %User Temp%\+.bat - Cleans up the logs, processes and files created by the malware
- %User Temp%\t.zip - an archive containing tor.exe and its components
- libeay32.dll - Extracted from t.zip. DLL needed by tor
- libevent_core-2-0-5.dll - Extracted from t.zip. DLL needed by tor
- libevent_extra-2-0-5.dll - Extracted from t.zip. DLL needed by tor
- libevent-2-0-5.dll - Extracted from t.zip. DLL needed by tor
- libgcc_s_sjlj-1.dll - Extracted from t.zip. DLL needed by tor
- libgmp-10.dll - Extracted from t.zip. DLL needed by tor
- libssp-0.dll - Extracted from t.zip. DLL needed by tor
- ssleay32.dll - Extracted from t.zip. DLL needed by tor
- t.bmp - Extracted from t.zip. Will later be moved to %Application Data%\+{Random digits}.bmp
- tor.exe - Extracted from t.zip. Used by malware to contact the C&C server
- zlib1.dll - Extracted from t.zip. DLL needed by tor
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Fügt die folgenden Prozesse hinzu:
- tor.exe
Hinterlässt Textdateien, um Lösegeld durch folgenden Inhalt zu erpressen:
- {Folders containing encrypted files}\+HOW_TO_UNLOCK.txt
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- .$
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Windows = %Application Data%\{User name}.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Windows = %Application Data%\{User name}.exe
Andere Systemänderungen
Fügt die folgenden Registrierungsschlüssel hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Adobe
Default = ""
Ändert die folgenden Registrierungseinträge:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowInfoTip = 0
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
FolderContentsInfoTip = 0
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
EnableBalloonTips = 0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmgmt
Start = 2
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StartButtonBalloonTip = 0
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 0
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideSCAHealth = 1
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
CheckExeSignatures = no
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableVirtualization = 0
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = .cmd;.exe;.bat;
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
SmartScreenEnabled = Off
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\System
EnableSmartScreen = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
RPSessionInterval = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableRealtimeMonitoring = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableRealtimeMonitoring = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\DeviceGuard
EnableVirtualizationBasedSecurity = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\DeviceGuard
RequirePlatformSecurityFeatures = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\DeviceGuard
HypervisorEnforcedCodeIntegrity = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\DeviceGuard
HVCIMATRequired = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\DeviceGuard
LsaCfgFlags = 0
Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:
HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0
HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 0
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\+{Random digits}.bmp
Löscht die folgenden Registrierungsschlüssel:
HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\System
DisableCMD = 0
(Note: The default value data of the said registry entry is 0.)
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 0
Backdoor-Routine
Sendet die folgenden Informationen an ihren Befehls- und Steuerungsserver (C&C):
- Windows version
- Time zone
Andere Details
Löscht sich nach der Ausführung selbst.
Solutions
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
Im abgesicherten Modus neu starten
Step 4
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
- Windows = %Application Data%\{User name}.exe
- Windows = %Application Data%\{User name}.exe
- In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
- Windows = %Application Data%\{User name}.exe
- Windows = %Application Data%\{User name}.exe
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations
- LowRiskFileTypes = .cmd;.exe;.bat;
- LowRiskFileTypes = .cmd;.exe;.bat;
Step 5
Diesen Registrierungsschlüssel löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Adobe
- Default = ""
- Default = ""
Step 6
Diesen geänderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- ShowInfoTip = 1
- ShowInfoTip = 1
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- FolderContentsInfoTip = 1
- FolderContentsInfoTip = 1
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- EnableBalloonTips = 1
- EnableBalloonTips = 1
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- StartButtonBalloonTip = 1
- StartButtonBalloonTip = 1
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- Hidden = 1
- Hidden = 1
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- ShowSuperHidden = 1
- ShowSuperHidden = 1
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- HideSCAHealth = 0
- HideSCAHealth = 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
- DisableRealtimeMonitoring = 0
- DisableRealtimeMonitoring = 0
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download
- CheckExeSignatures = yes
- CheckExeSignatures = yes
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- EnableVirtualization = 1
- EnableVirtualization = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
- DisableAntiSpyware = 0
- DisableAntiSpyware = 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
- DisableRealtimeMonitoring = 0
- DisableRealtimeMonitoring = 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
- SmartScreenEnabled = On
- SmartScreenEnabled = On
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System
- EnableSmartScreen = 1
- EnableSmartScreen = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- EnableLUA = 1
- EnableLUA = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
- RPSessionInterval = 1
- RPSessionInterval = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
- EnableVirtualizationBasedSecurity = 1
- EnableVirtualizationBasedSecurity = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
- RequirePlatformSecurityFeatures = 1
- RequirePlatformSecurityFeatures = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
- HypervisorEnforcedCodeIntegrity = 1
- HypervisorEnforcedCodeIntegrity = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
- HVCIMATRequired = 1
- HVCIMATRequired = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
- LsaCfgFlags = 1
- LsaCfgFlags = 1
Step 7
Desktop-Eigenschaften zurücksetzen
Step 8
Diese Datei suchen und löschen
- %User Temp%\libeay32.dll
- %User Temp%\libevent_core-2-0-5.dll
- %User Temp%\libevent_extra-2-0-5.dll
- %User Temp%\libevent-2-0-5.dll
- %User Temp%\libgcc_s_sjlj-1.dll
- %User Temp%\libgmp-10.dll
- %User Temp%\libssp-0.dll
- %User Temp%\ssleay32.dll
- %User Temp%\t.bmp
- %User Temp%\tor.exe
- %User Temp%\zlib1.dll
- %User Temp%\t.zip
- %Application Data%\+{Random digits}.bmp
- %User Temp%\+.bat
- {Folders containing encrypted files}\+HOW_TO_UNLOCK.txt
Step 9
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als RANSOM_AVCRYPT.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Participez à notre enquête!