Ransom.Win64.PROTOZOLA.A

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它添加下列进程：

• %System%\cmd.exe /c vssadmin Delete Shadows /all /quiet
• %System%\cmd.exe /c bcdedit /set {default} recoveryenabled No
• %System%\cmd.exe /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
• %System%\cmd.exe /c wmic SHADOWCOPY /nointeractive

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

它添加下列互斥条目，确保一次只会运行一个副本：

• 4B991369-7C7C-47AA-A81E-EF6ED1F5E24C

其他系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\Software\Proton
public = {hex values}

HKEY_CURRENT_USER\Software\Proton
full = {hex values}

它将系统的桌面壁纸设置为下列图像：

• %Program Data%\{victim ID}.bmp
  

进程终止

它终止在受感染的系统上运行的下列服务：

• wrapper
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• Sqlservr
• sqlagent
• sqladhlp
• Culserver
• RTVscan
• sqlbrowser
• SQLADHLP
• QBIDPService
• IntuitQuickBooksFCS
• QBCFMonitorService
• msmdsrv
• tomcat6
• zhudongfangyu
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• dbeng8
• MSSQL$MICROSOFT##WID
• MSSQL$VEEAMSQL2012
• SQLAgent$VEEAMSQL2012
• SQLBrowser
• SQLWriter
• FishbowlMySQL
• MSSQL$MICROSOFT##WID
• MySQL57
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQLServerADHelper100
• SQLAgent$KAV_CS_ADMIN_KIT
• msftesql-Exchange
• MSSQL$MICROSOFT##SSEE
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• QBFCService
• QBVSS
• YooBackup
• YooIT
• vss
• sql
• svc$
• MSSQL
• MSSQL$
• memtas
• mepocs
• sophos
• veeam
• backup
• bedbg
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• MVArmor
• MVarmor64
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• AcronisAgent
• ARSM
• AcrSch2Svc
• CASAD2DWebSvc
• CAARCUpdateSvc
• WSBExchange
• MSExchange
• MSExchange$

它终止在受感染的系统内存中运行的下列进程：

• wxServer
• wxServerView
• sqlmangr
• RAgui
• supervise
• Culture
• Defwatch
• winword
• QBW32
• QBDBMgr
• qbupdate
• axlbridge
• httpd
• fdlauncher
• MsDtSrvr
• java
• 360se
• 360doctor
• wdswfsafe
• fdhost
• GDscan
• ZhuDongFangYu
• QBDBMgrN
• mysqld
• AutodeskDesktopApp
• acwebbrowser
• Creative Cloud
• Adobe Desktop Service
• CoreSync
• Adobe CEF
• Helper
• node
• AdobeIPCBroker
• sync-taskbar
• sync-worker
• InputPersonalization
• AdobeCollabSync
• BrCtrlCntr
• BrCcUxSys
• SimplyConnectionManager
• SimplySystemTrayIcon
• fbguard
• fbserver
• ONENOTEM
• wsa_service
• koaly-exp-engine-service
• TeamViewer_Service
• TeamViewer
• tv_w32
• tv_x64
• TitanV
• Ssms
• notepad
• RdrCEF
• sam
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• wordpad
• bedbh
• vxmon
• benetns
• bengien
• pvlsvr
• beserver
• raw_agent_svc
• vsnapvss
• CagService
• DellSystemDetect
• EnterpriseClient
• ProcessHacker
• Procexp64
• Procexp
• GlassWire
• GWCtlSrv
• WireShark
• dumpcap
• j0gnjko1
• Autoruns
• Autoruns64
• Autoruns64a
• Autorunsc
• Autorunsc64
• Autorunsc64a
• Sysmon
• Sysmon64
• procexp64a
• procmon
• procmon64
• procmon64a
• ADExplorer
• ADExplorer64
• ADExplorer64a
• tcpview
• tcpview64
• tcpview64a
• avz
• tdsskiller
• RaccineElevatedCfg
• RaccineSettings
• Raccine_x86
• Raccine
• Sqlservr
• RTVscan
• sqlbrowser
• tomcat6
• QBIDPService
• notepad++
• SystemExplorer
• SystemExplorerService
• SystemExplorerService64
• Totalcmd
• Totalcmd64
• VeeamDeploymentSvc

其他详细信息

该程序执行以下操作：

• It empties the Recycle Bin.
• It terminates itself if the keyboard layout is the following:
  • Persian