Ransom.Win64.FUNKSEC.THAOFBE

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

It downloads a file from a certain URL then renames it before storing it in the affected system.

然而截至本文撰写时，上述网站均已无法访问。

它会对特定扩展名的文件进行加密。 它会释放作为勒索信的文件。

Arrival Details

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该勒索软件会释放以下文件：

• {malware filepath}\downloaded_wallpaper.jpg → desktop wallpaper after encryption

它会添加以下进程：

• %System%\net.exe
• %System%\tasklist.exe /fi "IMAGENAME eq vmware"
• powershell -Command Set-MpPreference -DisableRealtimeMonitoring $true
• powershell -Command wevtutil sl Security /e:false
• powershell -Command Set-ExecutionPolicy Bypass -Scope Process -Force
• vssadmin delete shadows /all /quiet

(Note: %System% 是Windows系统文件夹,通常位于此路径 C:\Windows\System32 适用于所有Windows操作系统版本。）

其他系统修改

该勒索软件会将系统桌面壁纸设置为以下图像：

进程终止

若在受感染系统上发现以下服务，该勒索软件会将其终止：

• wuauserv
• bits
• Spooler
• DockApp
• MpsSvc
• XblGameSave
• DiagTrack
• SysMain
• lfsvc
• seclogon
• wscsvc
• trkwks
• RemoteRegistry
• netprofm
• Netsh
• twinapi.appcore
• TimeBrokerSvc
• RasMan
• sshd
• LanmanWorkstation
• CryptSvc
• EventLog
• WinDefend

若在受感染系统的内存中发现以下进程正在运行，该勒索软件会将其终止：

• chrome.exe
• firefox.exe
• explorer.exe
• outlook.exe
• spotify.exe
• vlc.exe
• skype.exe
• teams.exe
• discord.exe
• java.exe
• python.exe
• node.exe
• javaw.exe
• winword.exe
• excel.exe
• powerpnt.exe
• cmd.exe
• powershell.exe
• notepad++.exe
• gimp-2.10.exe
• photoshop.exe
• iTunes.exe
• system32.exe

下载例程

This Ransomware downloads files from the following URLs then renames them before storage in the affected system:

• https://{BLOCKED}r.com/HCYQoVR.jpeg → desktop wallpaper after encryption

其他信息

该勒索软件会执行以下操作：

• It checks for the presence of the following virtual environment-related strings in the system:
  • vboxservice
  • qemu
  • hyperv
  • vmware

然而截至本文撰写时，上述网站均已无法访问。

Ransomware Routine

该勒索软件会对以下扩展名的文件进行加密：

• txt
• csv
• docx
• xlsx
• pdf
• json
• xml
• sql
• log
• html
• css
• js
• php
• py
• java
• c
• cpp
• sh
• bat
• ini
• yaml
• md
• rtf
• ts
• jsx
• tsx
• pptx
• odt
• ods
• odp
• msg
• eml
• apk
• ipa
• exe
• dll
• dmg
• iso
• vmdk
• vhd
• tgz
• 7z
• zip
• tar
• rar
• bak
• db
• mdb
• sqlite
• hdf5
• parquet
• avro
• etl
• pfx
• cer
• pem
• csr
• key
• pgp
• kdbx
• gpg
• tar.gz
• xz
• dbf
• tiff
• raw
• ai
• psd
• indd
• eps
• svg
• dwg
• dxf
• fla
• flv
• mov
• mp4
• avi
• mkv
• mp3
• wav
• flac
• aac
• ogg
• wma
• webm
• m3u
• cue
• midi
• ps
• tex
• bib
• chm
• epub
• azw3
• fb2
• djvu
• opf
• xps
• jar
• war
• ear
• pdb
• msi
• deb
• rpm
• vcs
• git
• svn
• nfs
• bin
• bkp
• lst
• dat
• png

它会为加密文件的文件名添加以下扩展名：

• {original filename}.{original extension}.funksec

它会释放以下文件作为勒索信：

• {malware filepath}\README-{10 random alphanumeric}.md