TROJ_CRIBIT.B

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

它可能是由远程站点的其他恶意软件/灰色软件/间谍软件下载而来。

新病毒详细信息

它可能是由下列恶意软件/灰色软件/间谍软件从远程站点下载而来：

• TSPY_FAREIT.BB

它可能是从下列远程网站下载而来：

• http://{BLOCKED}directory.com/file/win.exe

安装

它植入下列组件文件：

• %Application Data%\BitCrypt.txt - contains ransom message
• %Application Data%\BitCrypt.bmp - used as wallpaper
• %Application Data%\bitcrypt.ccw - configuration file

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它在受感染的系统中植入下列自身副本：

• %Application Data%\{random filename}.exe - deleted after encryption routine

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它留下文本文件，作为索取赎金通知，包含下列内容：

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Bitcomint = "%Application Data%\{random filename}.exe" (This is deleted after the malware successfully encrypted user's files)

其他系统修改

它删除下列注册表键值:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

它将系统的桌面壁纸设置为下列图像：

进程终止

它终止在受感染的系统内存中运行的下列进程：

• taskmgr.exe
• regedit.exe

其他详细信息

它使用下列扩展名加密文件：

• *.dbf
• *.mdb
• *.mde
• *.xls
• *.xlw
• *.docx
• *.doc
• *.cer
• *.key
• *.rtf
• *.xlsm
• *.xlsx
• *.txt
• *.xlc
• *.docm
• *.xlk
• *.text
• *.ppt
• *.djvu
• *.pdf
• *.lzo
• *.djv
• *.cdx
• *.cdt
• *.cdr
• *.bpg
• *.xfm
• *.dfm
• *.pas
• *.dpk
• *.dpr
• *.frm
• *.vbp
• *.php
• *.js
• *.wri
• *.css
• *.asm
• *.jpg
• *.jpeg
• *.dbx
• *.dbt
• *.odc
• *.sql
• *.abw
• *.pab
• *.vsd
• *.xsf
• *.xsn
• *.pps
• *.lzh
• *.pgp
• *.arj
• *.gz
• *.pst
• *.xl