Ransom.Win32.LOCKBIT.X

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它植入下列文件：

• %ProgramData%\trevZifxf.ico → icon used for all encrypted files.
• %ProgramData%\trevZifxf.bmp → image to set as system wallpaper after encryption.
• %ProgramData%\{Random}.tmp → used to delete the malware, deleted afterwards

它添加下列进程：

• %ProgramData%\{Random}.tmp
• "%System%\cmd.exe" /C DEL /F /Q %ProgramData%\{Random}.tmp >> NUL

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

它添加下列互斥条目，确保一次只会运行一个副本：

• Global\{Generated Hash}

其他系统修改

它添加下列注册表项：

HKEY_LOCAL_MACHINE\Software\Classes\
.trevZifxf
(Default) = trevZifxf

HKEY_LOCAL_MACHINE\Software\Classes\
trevZifxf\DefaultIcon
(Default) = %ProgramData%\trevZifxf.ico

HKEY_CLASSES_ROOT\trevZifxf\DefaultIcon
(Default) = %ProgramData%\trevZifxf.ico

HKEY_CLASSES_ROOT\.trevZifxf
(Default) = trevZifxf

它添加下列注册表键值作为其安装例程的一部分:

HKEY_LOCAL_MACHINE\Software\Classes\
.trevZifxf

HKEY_LOCAL_MACHINE\Software\Classes\
trevZifxf

HKEY_LOCAL_MACHINE\Software\Classes\
trevZifxf\DefaultIcon

HKEY_CLASSES_ROOT\.trevZifxf

HKEY_CLASSES_ROOT\trevZifxf

HKEY_CLASSES_ROOT\trevZifxf\DefaultIcon

它通过修改下列注册表项，更改桌面壁纸：

HKEY_CURRENT_MACHINE\Control Panel\Desktop
WallPaper = %ProgramData%\trevZifxf.bmp

它将系统的桌面壁纸设置为下列图像：

• %ProgramData%\trevZifxf.bmp
  

进程终止

它终止在受感染的系统上运行的下列服务：

• backup
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• memtas
• mepocs
• msexchange
• sophos
• sql
• svc$
• veeam
• vss

它终止在受感染的系统内存中运行的下列进程：

• agntsvc
• calc
• dbeng50
• dbsnmp
• encsvc
• excel
• firefox
• infopath
• isqlplussvc
• msaccess
• mspub
• mydesktopqos
• mydesktopservice
• notepad
• ocautoupds
• ocomm
• ocssd
• onedrive
• onenote
• oracle
• outlook
• powerpnt
• sqbcoreservice
• sql
• steam
• synctime
• tbirdconfig
• thebat
• thunderbird
• visio
• winword
• wordpad
• wuauclt
• xfssvccon

其他详细信息

该程序执行以下操作：

• It changes the encrypted file icon to the following image:
  
• It encrypts fixed, removable and network shares
• If not executed with admin rights, it will attempt relaunch itself as admin by elevating its privileges via bypassing UAC.
• It deletes files in recycle bin folder for removable and fixed drives
• 它使用 WQL 来删除快照副本
• It deletes the following services:
  • WdBoot
  • WdFilter
  • WdNisDrv
  • WdNisSvc
  • WinDefend
  • wscsvc
  • sppsvc
  • Sense
  • SecurityHealthService