RANSOM_JSRAA.D

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

它以电子邮件消息附件的形式出现，而此垃圾邮件由其他恶意软件/灰色软件/间谍软件或恶意用户发送。

新病毒详细信息

它以电子邮件消息附件的形式出现，而此垃圾邮件由其他恶意软件/灰色软件/间谍软件或恶意用户发送。

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = "{malware path and filename}.js argument"

其他系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\RAA\Raa-fnl

HKEY_CURRENT_USER\RAA\Raa-DI

它添加下列注册表项作为安装例程的一部分：

HKEY_CURRENT_USER\RAA\Raa-fnl
(Default) = "beenFinished"

HKEY_CURRENT_USER\RAA\Raa-DI
(Default) = "{victim ID}"

它删除下列注册表键值:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS

(Note: This is the Windows Volume Shadow Copy (VSS) Service)

其他详细信息

它使用下列扩展名加密文件：

• .doc
• .xls
• .rtf
• .pdf
• .dbf
• .jpg
• .dwg
• .cdr
• .psd
• .cd
• .mdb
• .png
• .lcd
• .zip
• .rar
• .locked
• ~
• $
• csv

它植入下列文件/组件：

• %My Documents%\doc_attached_{5 random characters} - word document containing fake error message in Russian language
• %Desktop%\!!!README!!!{random characters}.rtf - ransom note
• {Drive}:\!!!README!!!{random characters}.rtf - ransom note

  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(注意: %Desktop% 是当前用户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT) 和 C:\Documents and Settings\{User Name}\桌面 (Windows 2000、XP 和 Server 2003)。)