Ransom.Win64.RAWLD.THAAFBE

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

它会先执行，然后自行删除。

它会释放勒索说明文件作为赎金票据，并避免加密具有以下扩展名的文件：

Arrival Details

该勒索软件通过两种途径侵入系统：一是被其他恶意软件作为文件植入，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该勒索软件会释放以下文件：

• %Temp%\Ra_Lock.exe
• {Malware Path}\.Ra_Lock → 在加密系统前使用锁定文件作为标记

(Note: %Temp% 正是Windows临时文件夹，即其通常所在位置 C:\Windows\Temp 适用于所有Windows操作系统版本。）

它会添加以下进程：

• 清除并终止事件日志：
  • powershell -Command "Get-WmiObject -Class win32_service -Filter \"name = 'eventlog'\" | select -exp ProcessId"
  • cmd -Command "/c start taskkill /f /pid {Event Log PID}
  • cmd -Command "/c start wevtutil cl Application"
  • cmd -Command "/c start wevtutil cl system"
  • cmd -Command "/c start wevtutil cl security"
  • cmd -Command "/c start wevtutil cl setup"
• 删除卷影副本及其他系统备份：
  • cmd -Command "/c start vssadmin delete shadows /all /quiet"
  • cmd -Command "/c start wmic shadowcopy delete /nointeractive"
  • cmd -Command "/c start wmic SHADOWCOPY /nointeractive"
  • cmd -Command "/c start wbadmin delete catalog -quiet"
  • cmd -Command "/c start wbadmin DELETE SYSTEMSTATEBACKUP"
• Disables recovery mode and safe mode after boot:
  • cmd -Command "/c start bcdedit /set {default} bootstatuspolicy ignoreallfailures"
  • cmd -Command "/c start bcdedit /set {default} recoveryenabled no"
  • cmd -Command "/c start bcdedit /set {default} recoveryenabled No"
  • cmd -Command "/c bcdedit /deletevalue {default} safeboot"
• 删除自身痕迹并在10秒后重启系统：
  • cmd -Command "/c del C:\Windows\Temp\Team_update.exe && cmd /c del C:\Windows\Temp\.Ra_Lock"
  • cmd -Command "/c start shutdown -r -f -t 10"
  • cmd /C timeout /T 3 & del {Malware Path}\{Malware Filename}

它会先执行，然后自行删除。

进程终止

若在受感染系统上发现以下服务，该勒索软件会将其终止：

• AcronisAgent
• AcrSch2Svc
• BackExecRPCService
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• bedbg
• CAARCUpdateSvc
• CASAD2DWebSvc
• ccEvtMgr
• ccSetMgr
• Culserver
• dbeng8
• DefWatch
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• Intuit.QuickBooks.FCS
• memtas
• mepocs
• MpsSvc
• MsDtsServer150
• MSExchange
• msftesql-Exchange
• msmdsrv
• MSSQL
• MSSQLFDLauncher
• MSSQLLaunchpad
• MSSQLSERVER
• MSSQLServerOLAPService
• PDVFSService
• QBCFMonitorService
• QBFCService
• QBIDPService
• RTVscan
• SavRoam
• sophos
• sql
• sqladhlp
• SQLADHLP
• sqlagent
• SQLAgent
• SQLAgent$SHAREPOINT
• SQLBrowser
• SQLPBDMS
• SQLPBENGINE
• SQLSERVERAGENT
• SQLServerDistributedReplayClient
• SQLServerDistributedReplayController
• SQLTELEMETRY
• SQLWriter
• SSASTELEMETRY
• SSISScaleOutMaster150
• SSISScaleOutWorker150
• SSISTELEMETRY150
• stc_raw_agent
• svc$
• tomcat6
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• vmware-converter
• vmware-usbarbitator64
• VSNAPVSS
• vss
• WSBExchange
• wuauserv
• YooBackup
• YooIT
• zhudongfangyu

若在受感染系统的内存中发现以下进程正在运行，该勒索软件会将其终止：

• agntsvc.exe
• Culture.exe
• dbeng50.exe
• dbsnmp.exe
• dbsrv12.exe
• Defwatch.exe
• encsvc.exe
• excel.exe
• firefox.exe
• httpd.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• notepad.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• RAgui.exe
• sqbcoreservice.exe
• sql.exe
• sqlbrowser.exe
• sqlmangr.exe
• Sqlservr.exe
• steam.exe
• supervise.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thunderbird.exe
• tomcat6.exe
• visio.exe
• vxmon.exe
• WinSAT.exe
• winword.exe
• wordpad.exe
• wrapper.exe
• wsa_service.exe
• wxServer.exe
• wxServerView.exe
• xfssvccon.exe

其他信息

该勒索软件会执行以下操作：

• 该程序会加密除CD-ROM外的所有可用驱动器。
• It logs its status of activity in the console:
  

It deletes the following files to remove its traces in the system:

• C:\Windows\Temp\Team_update.exe
• C:\Windows\Temp\.Ra_Lock
• {Malware Path}\{Malware Filename}

Ransomware Routine

该勒索软件会避免加密文件名中包含以下字符串的文件：

• autorun.inf
• boot.ini
• bootfont.bin
• bootmgfw.efi
• bootmgr
• bootmgr.efi
• desktop.ini
• iconcache.db
• ntuser.dat
• NTUSER.DAT
• ntuser.ini
• pagefile.sys
• thumbs.db

它会避免加密以下文件夹中的文件：

• #recycle
• $Recycle.Bin
• $windows.~bt
• All Users
• AppData
• Boot
• bootmgr
• Google
• inte
• Internet Explorer
• Mozilla
• Mozilla Firefox
• msocache
• ntldr
• ntuser.dat
• NTUSER.DAT
• Opera
• Opera Software
• perflogs
• Program Files
• Program Files (x86)
• ProgramData
• system volume information
• System32
• SYSVOL
• Tor Browser
• Windows

它会为加密文件的文件名添加以下扩展名：

• .Ra_Lock

它会释放以下文件作为勒索信：

• {Encrypted Path}\README_Howtorecover.txt
  

它会避免加密具有以下文件扩展名的文件：

• .exe
• .dll
• .iso
• .Ra_Lock