Ransom.Win64.CHARON.THGBCBE

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

它会释放勒索说明文件作为赎金票据，并避免加密具有以下扩展名的文件：

Arrival Details

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该勒索软件添加以下互斥量以确保在任何时候仅运行其一个副本：

• OopsCharonHere

进程终止

若在受感染系统上发现以下服务，该勒索软件会将其终止：

• AcronisAgent
• AcrSch2Svc
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• CAARCUpdateSvc
• CASAD2DWebSvc
• ccEvtMgr
• ccSetMgr
• DefWatch
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• Intuit.QuickBooks.FCS
• memtas
• mepocs
• PDVFSService
• QBCFMonitorService
• QBFCService
• QBIDPService
• RTVscan
• SavRoam
• sophos
• sql
• stc_raw_agent
• svc$
• veeam
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• VSNAPVSS
• vss
• YooBackup
• YooIT
• zhudongfangyu

若在受感染系统的内存中发现以下进程正在运行，该勒索软件会将其终止：

• agntsvc.exe
• dbeng50.exe
• dbsnmp.exe
• encsvc.exe
• excel.exe
• firefox.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• notepad.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• sqbcoreservice.exe
• sql.exe
• steam.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• xfssvccon.exe

其他信息

该勒索软件会执行以下操作：

• 该恶意程序会清空回收站以永久删除文件
• 该恶意程序会删除卷影副本和备份数据以防止文件恢复。
• 该恶意程序根据文件大小采用可变加密模式对文件进行加密
  • 文件大小 ≤ 64KB时：对整个文件进行完整加密。
  • 对于64KB至5MB大小的文件：加密3个区段——起始位置（0%）、中间位置（50%）和末尾位置（75%）。
  • Files between 5MB and 20MB: Encrypts 5 evenly distributed segments across the file.
  • Files >20MB: Encrypts 7 key positions — 0%, 12.5%, 25%, 50%, 75%, 87.5%, and near the end (~95%).
• 该恶意程序会为每个加密文件添加以下特定标记：
  • hCharon is enter to the urworld!
• 该恶意软件能够创建恶意服务作为其反EDR策略的一部分：
  • WWC
  • Executes from %System%\WWC.sys

(Note: %System% 是Windows系统文件夹,通常位于此路径 C:\Windows\System32 适用于所有Windows操作系统版本。）

它接受以下参数：

• --debug= → Enable logging and save to debug log
• --shares= → Encrypt specific network shares excluding ADMIN$
• --paths= → Encrypt specific directories
• --sf → Shares First, encrypt network shares first

Ransomware Routine

该勒索软件会避免加密文件名中包含以下字符串的文件：

• How To Restore Your Files.txt

它会避免加密以下文件夹中的文件：

• #recycle
• $Recycle.Bin
• All Users
• AppData
• autorun.inf
• Boot
• boot.ini
• bootfont.bin
• bootmgfw.efi
• bootmgr
• bootmgr.efi
• bootsect.bak
• desktop.ini
• Google
• iconcache.db
• Internet Explorer
• Mozilla
• Mozilla Firefox
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• Opera
• Opera Software
• Program Files
• Program Files (x86)
• ProgramData
• thumbs.db
• Tor Browser
• Windows
• Windows.old

它会为加密文件的文件名添加以下扩展名：

• .Charon

它会释放以下文件作为勒索信：

• {Encrypted Path}\How To Restore Your Files.txt
  
  
  

它会避免加密具有以下文件扩展名的文件：

• .exe
• .dll
• .Charon