Ransom.Win32.LOCKBIT.AL

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

它会释放勒索说明文件作为赎金票据，并避免加密具有以下扩展名的文件：

Arrival Details

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该勒索软件会释放以下文件：

• %ProgramData%\SkbIJy7hi.ico → icon used for all encrypted files.
• %ProgramData%\SkbIJy7hi.bmp → image to set as system wallpaper after encryption.
• %ProgramData%\{4 Random Characters}.tmp → detected as Trojan.Win32.KCALBREPUS.THCAIBE, 用于自我删除
  • 该程序会按A到Z的顺序依次重命名恶意软件文件名，然后将其删除。每个字母会根据原始文件名的长度进行重复。

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

它会添加以下进程：

• bcdedit /set {current} safeboot network → if -safe commandline parameter is used
• %ProgramData%\{4 Random Characters}.tmp

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

它会添加以下互斥量，以确保在任何时候只有一个副本在运行：

• Global\b9642e465313b7d41180938043461b1a

Autostart Technique

该勒索软件会添加以下注册表项，以实现每次系统启动时自动执行：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce → if -safe commandline parameter is used
{Random Characters} = {Malware Path}\{Malware File Name}

其他系统修改

This Ransomware adds the following registry entries as part of its installation routine:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.SkbIJy7hi
(Default) = SkbIJy7hi

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
SkbIJy7hi\DefaultIcon
(Default) = %ProgramData%\SkbIJy7hi.ico

It adds the following registry keys as part of its installation routine:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.SkbIJy7hi

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
SkbIJy7hi

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
SkbIJy7hi\DefaultIcon

It modifies the following registry keys:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon → if -safe commandline parameter is used
AutoAdminLogon = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon → if -safe commandline parameter is used
DefaultUserName = Administrator

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon → if -safe commandline parameter is used
DefaultDomainName = {Computer Domain Name}

它通过修改以下注册表项来更改桌面壁纸：

HKEY_CURRENT_USER\Control Panel\Desktop
WallPaper = %ProgramData%\SkbIJy7hi.bmp

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 10

它将系统桌面壁纸设置为以下图像：

• {LOCKBIT_wallpaper}.png
  

进程终止

若在受感染系统上发现以下服务，该勒索软件会将其终止：

• backup
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• memtas
• mepocs
• msexchange
• sophos
• sql
• svc$
• veeam
• vss

若在受感染系统的内存中发现以下进程正在运行，该勒索软件会将其终止：

• agntsvc
• dbeng50
• dbsnmp
• encsvc
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• notepad
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• thebat
• thunderbird
• visio
• winword
• wordpad
• xfssvccon

其他信息

该勒索软件会执行以下操作：

• 若未以管理员权限执行，该程序会尝试通过绕过UAC（用户账户控制）提升权限，以管理员身份重新启动自身。
• 对固定驱动器、可移动驱动器及网络共享进行加密
• 它会删除可移动驱动器与固定驱动器回收站文件夹中的文件。
• 它使用 WQL 来删除快照副本
• It renames itself 26 times using %ProgramData%\{4 Random Characters}.tmp before deleting itself after encryption.
• 它具备在被感染机器上打印勒索说明文档的功能。.
• 若检测到系统使用以下语言，该程序会自行终止：
  • Arabic - Syria
  • Armenian - Armenia
  • Azeri (Cyrillic) - Azerbaijan
  • Azeri (Latin) - Azerbaijan
  • Belarusian - Belarus
  • Georgian - Georgia
  • Kazakh - Kazakhstan
  • Kyrgyz -Kyrgyzstan
  • Romanian - Moldava
  • Russian - Moldava
  • Russian - Russia
  • Tajik (Cyrillic) - Tajikistan
  • Tatar - Russia
  • Turkmen - Turkmenistan
  • Ukrainian - Ukraine
  • Uzbek (Cyrillic) - Uzbekistan
  • Uzbek (Latin) - Uzbekistan
• 该程序会删除以下服务：
  • WdBoot
  • WdFilter
  • WdNisDrv
  • WdNisSvc
  • WinDefend
  • wscsvc
  • sppsvc
  • Sense
  • SecurityHealthService
• 该程序会将加密文件的图标更改为以下图像：
  
• 该程序会复制以下对象的令牌：
  • 若TrustedInstaller服务尚未运行，则会启动该服务

它接受以下参数：

• -safe →以安全模式重启, then encrypts the user's machine
• -wall → 修改系统壁纸并通过打印机打印勒索信，随后经过26次重命名后自我删除。
• -path {target} → 对特定目标（可以是文件或文件夹）进行加密
• -gspd → 执行组策略修改以实现横向移动t
• -psex → 通过管理员共享实现横向移动
• -gdel → 删除组策略更新
• -del → 经过26次重命名后执行自我删除。

Ransomware Routine

该勒索软件会避免加密文件名中包含以下字符串的文件：

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db

它会避免加密以下文件夹中的文件：

• $recycle.bin
• $windows.~bt
• $windows.~ws
• all users
• appdata
• application data
• boot
• config.msi
• default
• google
• indows.old
• intel
• mozilla
• msocache
• perflogs
• Program Files
• Program Files (x86)
• ProgramData
• public
• system volume information
• tor browser
• windows
• x64dbg

它会为加密文件的文件名添加以下扩展名：

• .SkbIJy7hi

它会释放以下文件作为勒索信：

• {Encrypted Directory}\SkbIJy7hi.README.txt
  

它会避免加密具有以下文件扩展名的文件：

• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .hta
• .icl
• .icns
• .ico
• .ics
• .key
• .ldf
• .lnk
• .lock
• .mod
• .mpa
• .msc
• .msi
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .pdb
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx