Ransom.Win32.PAYNOOSE.THBOEBD

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它植入和执行下列文件：

• %Application Data%\svchost.exe → Executed with Escalated Privileges

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它添加下列进程：

• %System%\cmd.exe" /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete
• %System%\cmd.exe" /C bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
• %System%\cmd.exe" /C wbadmin delete catalog -quiet
• %System%\NOTEPAD.EXE" %Application Data%\OPEN_THIS.txt
• %Application Data%\svchost.exe

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。. %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

自启动技术

它将下列文件植入 Windows 启动文件夹，以便在系统每次启动时自动执行：

• %Start Menu%\Programs\Startup\svchost.url

(注意: %Start Menu% 是当前用户的「开始」菜单文件夹，通常位于 C:\Windows\Profiles\{user name}\Start Menu (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Start Menu (Windows NT)、C:\Windows\Start Menu 或 C:\Documents and Settings\{User name}\「开始」菜单 (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 以及 C:\Users\{user name}\AppData\Roaming\Microsoft\Windows\Start Menu (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

传播

它将自身的下列副本植入所有物理和可移动驱动器：

• {Drive Letter}:\Sexy_porn.exe → Excluding drive C:\

其他详细信息

该程序执行以下操作：

• In Drive C, it will only encrypt the following directories:
  • %User Profile%\Desktop
  • %User Profile%\Links
  • %User Profile%\Contacts
  • %User Profile%\Desktop
  • %User Profile%\Documents
  • %User Profile%\Downloads
  • %User Profile%\Pictures
  • %User Profile%\Music
  • %User Profile%\OneDrive
  • %User Profile%\Saved Games
  • %User Profile%\Favorites
  • %User Profile%\Searches
  • %User Profile%\Videos
  • %User Profile%\AppData\Roaming
  • %Public%\Documents
  • %Public%\Pictures
  • %Public%\Music
  • %Public%\Videos
  • %Public%\Desktop
• Attempts to change desktop background using the following file:
  • %User Temp%\{Random 9 characters}.jpg

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)