RANSOM_BADRABBIT.SMA
Ransom:Win32/BadRabbit (MICROSOFT); W32/Diskcoder.D!tr.ransom (FORTINET)
Windows
恶意软件类型:
Ransomware
有破坏性?:
没有
加密?:
没有
In the Wild:
是的
技术详细信息
安装
它植入下列文件:
- {Drive letter}:\Readme.txt ← Ransom note
- %Windows%\cscc.dat ← Normal file used by dispci.exe.
- %Windows%\dispci.exe ← overwrites MBR and decrypts files.
- %Windows%\{random hex value}.tmp ← Mimikatz, gathers username and password. Deleted afterwards.
- %Desktop%\DECRYPT.lnk ← Shortcut file for %Windows%\dispci.exe
- %All Users Profile%\DECRYPT.lnk ← Shortcut file for %Windows%\dispci.exe
(注意: %Windows% 是 Windows 文件夹,通常位于 C:\WINDOWS 或 C:\WINNT。. %Desktop% 是当前用户的桌面,通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT) 和 C:\Documents and Settings\{User Name}\桌面 (Windows 2000、XP 和 Server 2003)。)
它植入和执行下列文件:
- %Windows%\infpub.dat ← Deleted afterwards.
(注意: %Windows% 是 Windows 文件夹,通常位于 C:\WINDOWS 或 C:\WINNT。)
其他系统修改
它添加下列注册表项:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
DependOnService = "FltMgr"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
DisplayName = "Windows Client Side Caching DDriver"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
ErrorControl = 3
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
Group = "Filter"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
ImagePath = "cscc.dat"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
Start = 0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\cscc
Type = 1
信息窃取
它收集下列数据:
- Username
- Password
解决方案
Step 1
对于Windows ME和XP用户,在扫描前,请确认已禁用系统还原功能,才可全面扫描计算机。
Step 4
重启进入安全模式
Step 5
删除该注册表键值
注意事项:错误编辑Windows注册表会导致不可挽回的系统故障。只有在您掌握后或在系统管理员的帮助下才能完成这步。或者,请先阅读Microsoft文章,然后再修改计算机注册表。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services
- cscc
- cscc
Step 6
搜索和删除这些文件
- %All Users Profile%\DECRYPT.lnk
- %Desktop%\DECRYPT.lnk
- %Windows%\cscc.dat
- %Windows%\dispci.exe
- %Windows%\infpub.dat
- %Windows%\{random hex value}.tmp
- {Drive letter}:\Readme.txt
- %All Users Profile%\DECRYPT.lnk
- %Desktop%\DECRYPT.lnk
- %Windows%\cscc.dat
- %Windows%\dispci.exe
- %Windows%\infpub.dat
- %Windows%\{random hex value}.tmp
- {Drive letter}:\Readme.txt
Step 7
重启进入正常模式,使用亚信安全产品扫描计算机,检测RANSOM_BADRABBIT.SMA文件 如果检测到的文件已被亚信安全产品清除、删除或隔离,则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。
Step 9
使用亚信安全产品扫描计算机,并删除检测到的RANSOM_BADRABBIT.SMA文件 如果检测到的文件已被亚信安全产品清除、删除或隔离,则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。