Ransom.Win64.METAENCRYPTOR.A

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

它会释放作为勒索信的文件。

Arrival Details

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

进程终止

若在受感染系统上发现以下服务，该勒索软件会将其终止：

• Firebird
• MSSQL
• SQL
• Exchange
• wsbex
• postgresql
• BACKP
• tomcat
• SBS
• SharePoint

Information Theft

此勒索软件会收集以下数据：

• Total Memory
• Used Memory
• System Name
• Kernel Version
• OS Version
• System Host Name
• CPU

其他信息

该勒索软件接受以下参数：

• USAGE:
  • {Malware Filename} [FLAGS]
  • {Malware Filename} [OPTIONS]
• FLAGS:
  • -h | --help → Prints help information
  • -V | --version → Prints version information
• OPTIONS:
  • -d | --debug → Debug mode, more verbose output [default: false]
  • --disable-shares → Do not encrypt SMB shares [default: false]
  • -e | --exclude {file path} → Exclude specific file for encryption
  • --fast → Activate FAST mode [default: false]
  • -f | --only-files {file} → Encrypts the specified file
  • -k | --kill-processes → Terminates all non-windows processes. [default: false]
  • --no-sort-files → Sort files by date
  • --only-wait → Only wait, do nothing. for debug purposes. [default: false]
  • -p | --paths → Encrypts specified directory
  • --raise-privs → Execute with admin privilege [default: true]
  • --no-vss → Do not remove Volume Shadow Copies [default: true]
  • --shred-at-end → 删除自身 after encryption [default: false]
  • --shred-now → 删除自身 immediately [default: false]
  • -t | --threads → Threads count, by default selecting by number of CPU cores [default: 0]
  • --wait-mm → Time delay in minutes [default: 0]

Ransomware Routine

该勒索软件会为加密文件的文件名添加以下扩展名：

• .metaencrypted

它会释放以下文件作为勒索信：

• {Encrypted Directory}\!metaencrypter.txt