RANSOM_POGOTEAR.A
Ransom:MSIL/Ryzerlo.A (Microsoft); a variant of MSIL/Filecoder.Y (ESET);
Windows
恶意软件类型:
Trojan
有破坏性?:
没有
加密?:
没有
In the Wild:
是的
概要
如需此「間諜程式」的快速全面一覽,請參閱下面的「安全威脅圖表」。
它植入AUTORUN.INF文件,当用户访问受感染系统的驱动器时,自动执行植入的副本。
它连接到某个网站,发送和接收信息。
技术详细信息
安装
它植入下列文件:
- C:\Users\{username}\Desktop\هام جدا.txt -> ransom note
- C:\Users\{username}\Desktop\pk -> key
- %User Startup%\{random characters}.exe -> (to be detected as Ransom_POGOTEAR.A)
(注意: %User Startup% 是当前用户的启动文件夹,通常位于 C:\Windows\Profiles\{user name}\Start Menu\Programs\Startup (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Start Menu\Programs\Startup (Windows NT) 和 C:\Documents and Settings\{User name}\「开始」菜单\程序\启动。)
它留下文本文件,作为索取赎金通知,包含下列内容:
- (: لقد تم تشفير ملفاتكم، لفك الشفرة فلكسي موبيليس للعنوان التالي me.{BLOCKED}20152015@mt2015.com وشكرا على كرمكم مسبقا
自启动技术
它添加下列注册表项,在系统每次启动时自行执行:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
PokemonGo = "{Malware file path and file name}"
其他系统修改
它添加下列注册表项:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
SpecialAccounts\UserList
Hack3r = "0"
传播
它在下列驱动器中植入自身副本:
- {Destination Root*}\PokemonGo.exe
- All fixed drives, removable drives, shared folders and mapped network drives
它植入AUTORUN.INF文件,当用户访问受感染系统的驱动器时,自动执行植入的副本。
上述的 .INF 檔案含有下列字串:
[AutoRun]
OPEN=PokemonGo.exe
ICON=PokemonGo.exe
进程终止
它终止在受感染的系统内存中运行的下列进程:
- SMΔRTP
其他详细信息
它连接到下列网站,发送和接收信息:
- http://{BLOCKED}.{BLOCKED}.0.169/PokemonGo/write.php?info={computername}-{username} {key}<br>
它使用下列扩展名加密文件:
- .txt
- .rtf
- .doc
- .mht
- .docx
- .xls
- .xlsx
- .ppt
- .pptx
- .odt
- .jpg
- .png
- .csv
- .sql
- .mdb
- .sln
- .php
- .asp
- .aspx
- .html
- .xml
- .psd
- .htm
- .gif
- .png
它使用下列名称重命名加密文件:
- {original file name and file extension}.locked
解决方案
Step 1
对于Windows ME和XP用户,在扫描前,请确认已禁用系统还原功能,才可全面扫描计算机。
Step 3
使用亚信安全产品扫描计算机,并删除检测到的RANSOM_POGOTEAR.A文件 如果检测到的文件已被亚信安全产品清除、删除或隔离,则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。
Step 4
重启进入安全模式
Step 5
搜索和删除该文件
- C:\Users\{username}\Desktop\هام جدا.txt
- C:\Users\{username}\Desktop\pk
Step 6
删除该注册表值
注意事项:错误编辑Windows注册表会导致不可挽回的系统故障。只有在您掌握后或在系统管理员的帮助下才能完成这步。或者,请先阅读Microsoft文章,然后再修改计算机注册表。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- PokemonGo = "{Malware file path and file name}"
- PokemonGo = "{Malware file path and file name}"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList
- Hack3r = "0"
- Hack3r = "0"
Step 7
搜索和删除AUTORUN.INF文件,由RANSOM_POGOTEAR.A创建,包含这些字符串
- [AutoRun]
- OPEN=PokemonGo.exe
- ICON=PokemonGo.exe
Step 8
重启进入正常模式,使用亚信安全产品扫描计算机,检测RANSOM_POGOTEAR.A文件 如果检测到的文件已被亚信安全产品清除、删除或隔离,则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。