分析者: Thea Patrice Tajonera   
 :

Ransom:Win32/DoejoCrypt.A (MICROSOFT)

 平台:

Windows

 总体风险等级:
 潜在破坏:
 潜在分布:
 感染次数:
 信息暴露:

  • 恶意软件类型:
    Ransomware

  • 有破坏性？:
    没有

  • 加密？:
    没有

  • In the Wild:
    是的

  概要

感染途徑: 从互联网上下载，或由其他恶意软件释放。

它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。

  技术详细信息

文件大小: 1,322,496 bytes
报告日期: EXE
内存驻留: 没有
初始樣本接收日期: 2021年3月12日
Payload: 植入文件, 显示消息/消息框
N

新病毒详细信息

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

其他详细信息

它使用下列扩展名加密文件：

  • .TIF
  • .TIFF
  • .PDF
  • .XLS
  • .XLSX
  • .XLTM
  • .PS
  • .PPS
  • .PPT
  • .PPTX
  • .DOC
  • .DOCX
  • .LOG
  • .MSG
  • .RTF
  • .TEX
  • .TXT
  • .CAD
  • .WPS
  • .EML
  • .INI
  • .CSS
  • .HTM
  • .HTML
  • .XHTML
  • .JS
  • .JSP
  • .PHP
  • .KEYCHAIN
  • .PEM
  • .SQL
  • .APK
  • .APP
  • .BAT
  • .CGI
  • .ASPX
  • .CER
  • .CFM
  • .C
  • .CPP
  • .GO
  • .CONFIG
  • .PL
  • .PY
  • .DWG
  • .XML
  • .JPG
  • .BMP
  • .PNG
  • .EXE
  • .DLL
  • .CAD
  • .AVI
  • .H
  • .CSV
  • .DAT
  • .ISO
  • .PST
  • .PGD
  • .7Z
  • .RAR
  • .ZIP
  • .ZIPX
  • .TAR
  • .PDB
  • .BIN
  • .DB
  • .MDB
  • .MDF
  • .BAK
  • .LOG
  • .EDB
  • .STM
  • .DBF
  • .ORA
  • .GPG
  • .EDB
  • .MFS

该程序执行以下操作：

  • It encrypts files on all drives except for the following:
    • CD-ROM drive
  • It will proceed to its encryption routine when ran as a service named "msupdate"
  • The service is stopped and deleted when the encryption routine is finished
  • The ransomware prepends the string, "DEARCRY!", at the beginning of each encrypted file

  解决方案

最小扫描引擎: 9.800
First VSAPI Pattern File: 16.590.01
VSAPI 第一样式发布日期: 2021年3月12日
VSAPI OPR样式版本: 16.591.00
VSAPI OPR样式发布日期: 2021年3月13日
N

Step 2

对于Windows ME和XP用户，在扫描前，请确认已禁用系统还原功能，才可全面扫描计算机。

Step 3

请注意，在执行此恶意软件/间谍软件/灰色软件期间，并非所有文件、文件夹、注册表项和条目都安装在您的计算机上。这可能是由于安装不完整或其他操作系统条件造成的。如果找不到相同的文件/文件夹/注册表信息，请继续下一步。

Step 4

搜索和删除这些文件

[ 更多 ]
有些组件文件可能是隐藏的。请确认在"高级选项"中已选中搜索隐藏文件和文件夹复选框，使查找结果包括所有隐藏文件和文件夹。  
  • {Encrypted Directory}\readme.txt
  • %Desktop%\readme.txt
DATA_GENERIC_FILENAME_1
  • 在查找范围下拉列表中，选择
  • 我的电脑然后回车确认。
  • 一旦找到，请选择文件，然后按下SHIFT+DELETE彻底删除文件。
  • 对剩余的文件重复第2到4步：
       
      • {Encrypted Directory}\readme.txt
      • %Desktop%\readme.txt

    • Step 5

    使用趋势科技产品扫描计算机，并删除检测到的Ransom.Win32.DEARCRY.THCABBA文件 如果检测到的文件已被趋势科技产品清除、删除或隔离，则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。

    Step 6

    从备份中还原被加密的文件。