Ransom.Win64.LOCKBIT.YXFDJ

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

它会释放勒索说明文件作为赎金票据，并避免加密具有以下扩展名的文件：

Arrival Details

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

进程终止

若在受感染系统上发现以下服务，该勒索软件会将其终止：

• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• RTVscan
• QBFCService
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc

若在受感染系统的内存中发现以下进程正在运行，该勒索软件会将其终止：

• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe

其他信息

该勒索软件会执行以下操作：

• It encrypts fixed, removable, and network shares
• 它使用 Windows 重启管理器 API 来关闭可能正在保持文件打开状态并阻止加密的进程或 Windows 服务。
• It empties the recycle bin.
• If any of these files or folders have a "Date Modified" timestamp on or after June 6, 2026, the process will terminate:
  • %Windows%\bootstat.dat
  • %Windows%\bootstat.dat
  • %Windows%\WindowsUpdate.log
  • %System%\perfc009.dat
  • %System%\perfh009.dat
  • %System%\PerfStringBackup.ini
  • System Root%\Users\All Users\AppData\Local\Temp\
  • %System Root%\Users\Default\AppData\Local\Temp\
  • %System Root%\Users\Default User\AppData\Local\Temp\
  • %AppDataLocal%\Temp\
  • %User Temp%
  • %Temp%
• 该程序会检测特定计算机名称，并在发现匹配时自行终止。

(Note: %Temp% 正是Windows临时文件夹，即其通常所在位置 C:\Windows\Temp 适用于所有Windows操作系统版本。）

Ransomware Routine

该勒索软件会避免加密文件名中包含以下字符串的文件：

• autorun.inf
• boot.ini
• bootfont.bin
• bootsect.bak
• bootmgr
• bootmgr.efi
• bootmgfw.efi
• desktop.ini
• iconcache.db
• ntldr
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• Program Files
• Program Files (x86)
• #recycle
• How to decrypt my data.txt
• decryptiondescription.pdf
• config.json
• Important!!!.pdf

该程序会避免加密文件路径中包含以下字符串的文件：

• AppData
• Boot
• Windows
• Windows.old
• Tor Browser
• Internet Explorer
• Google
• Opera
• Opera Software
• Mozilla
• Mozilla Firefox
• $Recycle.Bin
• ProgramData
• All Users

它会为加密文件的文件名添加以下扩展名：

• .x2anylock

它会释放以下文件作为勒索信：

• {Encrypted Directory}\How to decrypt my data.txt
  

它会避免加密具有以下文件扩展名的文件：

• .x2anylock
• .xlockxlock
• .386
• .adv
• .ani
• .bat
• .bin
• .cab
• .cmd
• .com
• .cpl
• .cur
• .deskthemepack
• .diagcab
• .diagcfg
• .diagpkg
• .dll
• .drv
• .exe
• .hlp
• .icl
• .icns
• .ico
• .ics
• .idx
• .ldf
• .lnk
• .mod
• .mpa
• .msc
• .msp
• .msstyles
• .msu
• .nls
• .nomedia
• .ocx
• .prf
• .ps1
• .rom
• .rtp
• .scr
• .shs
• .spl
• .sys
• .theme
• .themepack
• .wpx
• .lock
• .key
• .hta
• .msi
• .pdb
• .search-ms