Ransom.Win32.EMBARGO.THEAFBD

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它添加下列进程：

• "%System%\cmd.exe" /q /c bcdedit /set {default} recoveryenabled no

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

它添加下列互斥条目，确保一次只会运行一个副本：

• LoadUpOnGunsBringYourFriends

进程终止

它终止在受感染的系统上运行的下列服务：

• GxCIMgr$
• MVArmor$
• VSNAPVSS$
• VeeamNFSSvc$
• QBCFMonitorService$
• GxVssHWProv$
• QBDBMgrN$
• BackupExecRPCService$
• VeeamTransportSvc$
• MVarmor64$
• SAPHostControl$
• SAPHostExec$
• QBCFMonitorService$
• MSExchange\$.*$
• AcronisAgent$
• VeeamTransportSvc$
• BackupExecVSSProvider$
• BackupExecManagementService
• SAPD\$$xecManagementSe
• QBIDPService$
• AcrSch2Svc$
• SAPService$
• SAPHostControl$
• BackupExecJobEngine$ce
• BackupExecRPCService$
• GxClMgrS$

它终止在受感染的系统内存中运行的下列进程：

• agntsvc.exe
• dbeng50.exe
• dbsnmp.exe
• encsvc.exe
• excel.exe
• firefox.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• notepad.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpoint.exe
• sqbcoreservice.exe
• sql.exe
• steam.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• xfssvccon.exe
• *sql*.exe
• bedbh.exe
• vxmon.exe
• benetns.exe
• bengien.exe
• pvlsvr.exe
• beserver.exe
• raw_agent_svc.exe
• vsnapvss.exe
• CagService.exe
• vsnapvss.exe
• QBIDPService.exe
• QBDBMgrN.exe
• QBCFMonitorService.exe
• SAP.exe
• TeamViewer_Service.exe
• TeamViewer.exe
• tv_w32.exe
• tv_x64.exe
• cvd.exe
• cvfwd.exe
• cvods.exe
• saphostexec.exe
• saposcol.exe
• sapstartsrv.exe
• avscc.exe
• DellSystemDetect.exe
• EnterpriseClient.exe
• veeam*.exe
• VeeamNFSSvc.exe
• VeeamTransportSvc.exe
• VeeamDeploymentSvc.exe

其他详细信息

该程序执行以下操作：

• It attempts to terminate running processes using the Restart Session Manager to encrypt the associated file as such will result to the following registry modification:
  • HKEY_CURRENT_USER\Software\Microsoft\RestartManager\Session0000
    Owner = {hex values}
  • HKEY_CURRENT_USER\Software\Microsoft\RestartManager\Session0000
    SessionHash = {hex values}
  • HKEY_CURRENT_USER\Software\Microsoft\RestartManager\Session0000
    Sequence = 0x01
  • HKEY_CURRENT_USER\Software\Microsoft\RestartManager\Session0000
    RegFiles{number} = {file}
  • HKEY_CURRENT_USER\Software\Microsoft\RestartManager\Session0000
    RegFilesHash = {hex values}