分析者: Neljorn Nathaniel Aguas   
 :

VHO:Trojan-Ransom.Win32.Conti.bn (KASPERSKY)

 平台:

Windows

 总体风险等级:
 潜在破坏:
 潜在分布:
 感染次数:
 信息暴露:

  • 恶意软件类型:
    Ransomware

  • 有破坏性？:
    没有

  • 加密？:
    是的

  • In the Wild:
    是的

  概要

感染途徑: 从互联网上下载，或由其他恶意软件释放。

N它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。

该恶意软件不具有任何传播例程。

该恶意软件不具有任何后门例程。

  技术详细信息

文件大小: 249,856 bytes
报告日期: EXE
内存驻留: 没有
初始樣本接收日期: 2023年9月8日
Payload: 显示消息/消息框
N

新病毒详细信息

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

安装

它植入下列文件：

  • {Malware File Path}\{Log File Name} → If the parameter -log {Log File Name} is used
  • {Log File Path}\{Log File Name} → If the parameter -log {Log File Path}\{Log File Name} is used

它添加下列互斥条目，确保一次只会运行一个副本：

  • hsfjuukjzloqu28oajh727190

传播

该恶意软件不具有任何传播例程。

后门例程

该恶意软件不具有任何后门例程。

其他详细信息

该程序执行以下操作：

  • By default, it encrypts local drives, removable drives and network shares.
  • When encrypting network shares it will check if the IP address starts with the following to ensure that it is encrypting local, non-internet, systems:
    • 172.
    • 192.168.
    • 10.
    • 169.
  • It encrypts files with the following extensions using a different encryption method:
    • .4dd
    • .4dl
    • .abcddb
    • .abs
    • .abx
    • .accdb
    • .accdc
    • .accde
    • .accdr
    • .accdt
    • .accdw
    • .accft
    • .adb
    • .ade
    • .adf
    • .adn
    • .adp
    • .alf
    • .arc
    • .ask
    • .avdx
    • .avhd
    • .bdf
    • .bin
    • .btr
    • .cat
    • .cdb
    • .ckp
    • .cma
    • .cpd
    • .dacpac
    • .dad
    • .dadiagrams
    • .daschema
    • .db
    • .db-shm
    • .db-wal
    • .db2
    • .db3
    • .dbc
    • .dbf
    • .dbs
    • .dbt
    • .dbv
    • .dbx
    • .dcb
    • .dct
    • .dcx
    • .ddl
    • .dlis
    • .dp1
    • .dqy
    • .dsk
    • .dsn
    • .dtsx
    • .dxl
    • .eco
    • .ecx
    • .edb
    • .epim
    • .exb
    • .fcd
    • .fdb
    • .fic
    • .fm5
    • .fmp
    • .fmp12
    • .fmps1
    • .fol
    • .fp3
    • .fp4
    • .fp5
    • .fp7
    • .fpt
    • .frm
    • .gdb
    • .grbd
    • .gwi
    • .hdb
    • .his
    • .hjt
    • .ib
    • .icg
    • .icr
    • .idb
    • .ihx
    • .iso
    • .itdb
    • .itw
    • .jet
    • .jtx
    • .kdb
    • .kdb
    • .kexi
    • .kexic
    • .kexis
    • .lgc
    • .lut
    • .lwx
    • .maf
    • .maq
    • .mar
    • .mas
    • .mav
    • .maw
    • .mdb
    • .mdf
    • .mdn
    • .mdt
    • .mpd
    • .mrg
    • .mud
    • .mwb
    • .myd
    • .ndf
    • .nnt
    • .nrmlib
    • .ns2
    • .ns3
    • .ns4
    • .nsf
    • .nv
    • .nv2
    • .nvram
    • .nwdb
    • .nyf
    • .odb
    • .oqy
    • .ora
    • .orx
    • .owc
    • .p96
    • .p97
    • .pan
    • .pdb
    • .pdm
    • .pnz
    • .pvm
    • .qcow2
    • .qry
    • .qvd
    • .raw
    • .rbf
    • .rctd
    • .rod
    • .rodx
    • .rpd
    • .rsd
    • .sas7bdat
    • .sbf
    • .sbf
    • .scx
    • .scx
    • .sdb
    • .sdb
    • .sdc
    • .sdc
    • .sdf
    • .sis
    • .spq
    • .sql
    • .sqlite
    • .sqlite3
    • .sqlitedb
    • .subvol
    • .te
    • .temx
    • .tmd
    • .tps
    • .trc
    • .trm
    • .udb
    • .udl
    • .usr
    • .v12
    • .vdi
    • .vhd
    • .vhdx
    • .vis
    • .vmcx
    • .vmdk
    • .vmem
    • .vmrs
    • .vmsd
    • .vmsn
    • .vmx
    • .vpd
    • .vsv
    • .vvv
    • .wdb
    • .wmdb
    • .wrk
    • .xdb
    • .xld
    • .xmlff
  • It appends specific hex values to the encrypted files depending on their file size and extension.

  解决方案

最小扫描引擎: 9.800
First VSAPI Pattern File: 18.684.03
VSAPI 第一样式发布日期: 2023年9月8日
VSAPI OPR样式版本: 18.685.00
VSAPI OPR样式发布日期: 2023年9月9日
N

Step 2

对于Windows ME和XP用户，在扫描前，请确认已禁用系统还原功能，才可全面扫描计算机。

Step 3

请注意，在执行此恶意软件/间谍软件/灰色软件期间，并非所有文件、文件夹、注册表项和条目都安装在您的计算机上。这可能是由于安装不完整或其他操作系统条件造成的。如果找不到相同的文件/文件夹/注册表信息，请继续下一步。

Step 4

搜索和删除这些文件

[ 更多 ]
有些组件文件可能是隐藏的。请确认在"高级选项"中已选中搜索隐藏文件和文件夹复选框，使查找结果包括所有隐藏文件和文件夹。
  • {Drive Letter}:\!!!-Restore-My-Files-!!!.txt
  • {Directory with Encrypted Files}\!!!-Restore-My-Files-!!!.txt
  • %Desktop%\!!!-Restore-My-Files-!!!.txt
  • {Malware File Path}\{Log File Name}
  • {Log File Path}\{Log File Name}
 DATA_GENERIC_FILENAME_1
  • 在查找范围下拉列表中，选择
  • 我的电脑然后回车确认。
  • 一旦找到，请选择文件，然后按下SHIFT+DELETE彻底删除文件。
  • 对剩余的文件重复第2到4步：
       
      • {Drive Letter}:\!!!-Restore-My-Files-!!!.txt
      • {Directory with Encrypted Files}\!!!-Restore-My-Files-!!!.txt
      • %Desktop%\!!!-Restore-My-Files-!!!.txt
      • {Malware File Path}\{Log File Name}
      • {Log File Path}\{Log File Name}

    • Step 5

    使用趋势科技产品扫描计算机，并删除检测到的Ransom.Win64.LOCKBIT.YJDIHT文件 如果检测到的文件已被趋势科技产品清除、删除或隔离，则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。

    Step 6

    从备份中还原被加密的文件。