Ransom.Win64.HORUSKRYPT.THIAGBD

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

它对特定文件夹中的文件进行加密。 它会释放勒索说明文件作为赎金票据，并避免加密具有以下扩展名的文件：

Arrival Details

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

此勒索软件会将以下自身副本释放到受感染系统中：

• %User Startup%\{32 random alphanumeric}.exe

(Note: %User Startup%是当前用户的启动文件夹, 通常位于此路径C:\Windows\Profiles\{user name}\Start Menu\Programs\Startup on Windows 98 and ME, C:\WINNT\Profiles\{user name}\Start Menu\Programs\Startup on Windows NT, C:\Documents and Settings\{User name}\Start Menu\Programs\Startup on Windows 2003(32-bit), XP and 2000(32-bit), or C:\Users\{user name}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit), 10(64-bit).)

它会释放以下文件：

• %ProgramData%\{32 random alphanumeric}.ico → icon of encrypted files
• %ProgramData%\{32 random alphanumeric}.bmp → desktop wallpaper after encryption

(Note: %ProgramData% 是多用户计算机上所有用户均可修改程序的Program Files文件夹版本，其中包含所有用户的应用程序数据，通常位于此路径： C:\ProgramData 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上，或C:\Documents and Settings\All Users 在Windows Server 2003（32位）、2000（32位）及XP系统上。）

它会添加以下进程：

• vssadmin Delete Shadows /All /Quiet
• bcdedit /set {default} recoveryenabled No
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• wmic SHADOWCOPY /nointeractive

它会添加以下互斥量，以确保在任何时候只有一个副本在运行：

• 51A301AD-3CCF-413A-AD80-A507DDCFF34C

其他系统修改

该勒索软件会添加以下注册表项：

HKEY_CLASSES_ROOT\.h0rus13\DefaultIcon
{default} = %ProgramData%\{32 random alphanumeric}.ic

HKEY_CURRENT_USER\Software\Krypt
public = {hex values}

HKEY_CURRENT_USER\Software\Krypt
full = {hex values}

该程序会修改以下注册表项：

HKEY_LOCAL_MACHINESoftware\Policies\Microsoft\
Windows Defender
DisableAntiSpyware = 1

HKEY_LOCAL_MACHINESoftware\Policies\Microsoft\
Windows Defender
DisableRealtimeMonitoring = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows NT\SystemRestore
DisableSR = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows NT\SystemRestore
DisableConfig = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\WinRE
DisableSetup = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableRestoreUI = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableBackupLauncher = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableSystemBackupUI = 1

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows\Backup\
Client
DisableBackupUI = 1

它将系统桌面壁纸设置为以下图像：

进程终止

若在受感染系统上发现以下服务，该勒索软件会将其终止：

• wrapper
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• Sqlservr
• sqlagent
• sqladhlp
• Culserver
• RTVscan
• sqlbrowser
• SQLADHLP
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• msmdsrv
• tomcat6
• zhudongfangyu
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• dbeng8
• MSSQL$MICROSOFT##WID
• MSSQL$VEEAMSQL2012
• SQLAgent$VEEAMSQL2012
• SQLBrowser
• SQLWriter
• FishbowlMySQL
• MSSQL$MICROSOFT##WID
• MySQL57
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQLServerADHelper100
• SQLAgent$KAV_CS_ADMIN_KIT
• msftesql-Exchange
• MSSQL$MICROSOFT##SSEE
• MSSQL$SBSMONITORING

若在受感染系统的内存中发现以下进程正在运行，该勒索软件会将其终止：

• wxserver
• wxserverview
• sqlmangr
• ragui
• supervise
• culture
• defwatch
• winword
• qbw32
• qbdbmgr
• qbupdate
• axlbridge
• httpd
• fdlauncher
• msdtsrvr
• java
• 360se
• 360doctor
• wdswfsafe
• fdhost
• gdscan
• zhudongfangyu
• qbdbmgrn
• mysqld
• autodeskdesktopapp
• acwebbrowser
• creative cloud
• adobe desktop service
• coresync
• adobe cef
• helper
• node
• adobeipcbroker
• sync-taskbar
• sync-worker
• inputpersonalization
• adobecollabsync
• brctrlcntr
• brccuxsys
• simplyconnectionmanager
• simply.systemtrayicon
• fbguard
• fbserver
• onenotem
• wsa_service
• koaly-exp-engine-service
• teamviewer_service
• teamviewer
• tv_w32
• tv_x64
• titanv
• ssms
• notepad
• rdrcef
• sam
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• exce
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• wordpad
• bedbh
• vxmon
• benetns
• bengien
• pvlsvr
• beserver
• raw_agent_svc
• vsnapvss
• cagservice
• dellsystemdetect
• enterpriseclient
• processhacker
• procexp64
• procexp
• glasswire
• gwctlsrv
• wireshark
• dumpcap
• j0gnjko1
• autoruns
• autoruns64a
• autorunsc
• autorunsc64a
• sysmon
• sysmon64
• procexp64a
• procmon
• procmon64
• procmon64a
• adexplorer
• adexplorer64
• adexplorer64a
• tcpview
• tcpview64
• tcpview64a
• avz
• tdsskiller
• raccineelevatedcfg
• raccinesettings
• raccine_x86
• raccine
• sqlservr
• rtvscan
• sqlbrowser
• tomcat6
• qbidpservice
• notepad++
• systemexplorer
• systemexplorerservice
• systemexplorerservice64
• totalcmd
• totalcmd64
• veeamdeploymentsvc
• notepad

Information Theft

此勒索软件会收集以下数据：

• Volume Information

其他信息

该勒索软件会添加以下注册表键：

HKEY_CURRENT_USER\Software\Krypt

HKEY_CLASSES_ROOT\.h0rus13

HKEY_CLASSES_ROOT\.h0rus13\DefaultIcon

HKEY_CURRET_USER\.h0rus13

HKEY_CURRET_USER\.h0rus13\DefaultIcon

它会执行以下操作：

• It encrypts local, removable, and network drives.
• It empties the recycle bin.
• It terminates itself if the keyboard layout of the infected machine is the following:
  • Persian/Iran
• It terminates itself if the GUID was found in the system:
  • 51A301AD-3CCF-413A-AD80-A507DDCFF34C
• 该程序会将加密文件的图标更改为以下图像：
  

Ransomware Routine

此勒索软件会加密以下文件夹中的文件：

• ProgramData
• Program Files (x86)

它会避免加密文件名中包含以下字符串的文件：

• #HowToRecover.txt
• BOOTSECT.BAK
• pagefile.sys
• bootmgr

It renames encrypted files using the following names:

• {10 random alphanumeric}.h0rus13

它会为加密文件的文件名添加以下扩展名：

• .h0rus13

它会释放以下文件作为勒索信：

• {encrypted directory}\#HowToRecover.txt
• %Desktop%\#HowToRecover.txt
  

它会避免加密具有以下文件扩展名的文件：

• exe
• bmp
• dll
• msi
• ico