Ransom.Win32.GLBYTE.THEBCBD

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它添加下列进程：

• netsh firewall set opmode mode=disable profile=all
• vssadmin Delete Shadows /all /quiet
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• wmic shadowcopy delete
• wbadmin delete catalog –quiet
• rundll32.exe user32.dll,UpdatePerUserSystemParameters
• %Desktop%\GlitchByte_Decryptor.exe

(注意: %Desktop% 是当前用户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT)、C:\Documents and Settings\{User Name}\桌面 (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\Desktop (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

其他系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\{76 Random Characters}
{76 Random Characters} = {Random Characters}

它通过修改下列注册表项，更改桌面壁纸：

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\GlitchByte.bmp

它将系统的桌面壁纸设置为下列图像：

• %Application Data%\GlitchByte.bmp
  

植入例程

它植入下列文件：

• %Application Data%\GlitchByte.bmp

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

其他详细信息

它使用下列扩展名加密文件：

• .accdb
• .bas
• .bmp
• .dib
• .doc
• .docx
• .jpeg
• .jpg
• .log
• .mp
• .mp3
• .mp4
• .png
• .ppt
• .pptx
• .pub
• .rtf
• .txt
• .vbe
• .vbs
• .wav
• .xsl
• .xslx

该程序执行以下操作：

• It modifies the following files:
  • %System%\drivers\etc\hosts

  to block access to the following URLs:

  • www.malwarebytes.com
  • malwarebytes.com
  • www.bitdefender.com
  • bitdefender.com
  • www.avast.com
  • avast.com
  • www.symantec.com
  • symantec.com
  • www.avast.com
  • avast.com
  • www.virustotal.com
  • virustotal.com
  • www.tria.ge
  • tria.ge
  • www.cuckoo.cert.ee
  • cuckoo.cert.ee
  • www.hybrid-analysis.com
  • hybrid-analysis.com
  • www.crowdstrike.com
  • crowdstrike.com
  • www.go.crowdstrike.com
  • go.crowdstrike.com
• It displays the following on its console: