TROJ_CRYPLOCK.XW

它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。它开始执行然后再删除。

安装

它在受感染的系统中植入下列自身副本：

• {created folder}\{random folder name}\01000000 - encrypted copy
• %Windows%\{random 8 letters}.exe

(注意: %Windows% 是 Windows 文件夹，通常位于 C:\WINDOWS 或 C:\WINNT。)

它植入下列文件/组件：

• {created folder}\{random folder name}\00000000
• {created folder}\{random folder name}\02000000
• {created folder}\{random folder name}\03000000 - copy of ransom note
• {created folder}\{random folder name}\04000000

它添加下列进程：

• explorer.exe

它创建下列文件夹：

• %ProgramData%\{random folder name} - Winodws Vista and Above
• %All Users Profile%\Application Data\{random folder name} - Windows XP and Below

它向下列进程中注入代码：

• created explorer.exe

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 letters} = "%Windows%\{random 8 letters}.exe"

信息窃取

它收集下列数据:

• Machine GUID
• Computer name

其他详细信息

它连接到下列网站，发送和接收信息：

• https://{BLOCKED}on.net/topic.php

它使用下列扩展名加密文件：

• 3ds
• 3fr
• 3pr
• 7z
• ab4
• ac2
• accdb
• accde
• accdr
• accdt
• acr
• adb
• agd1
• ai
• ait
• al
• apj
• arw
• asm
• asp
• bak
• bdb
• bgt
• bik
• bkp
• blend
• bpw
• cdf
• cdr
• cdr3
• cdr4
• cdr5
• cdr6
• cdrw
• cdx
• ce1
• ce2
• cer
• cfp
• cgm
• cib
• cls
• cmt
• cpi
• cpp
• cr2
• craw
• crt
• crw
• csh
• csl
• css
• csv
• dac
• db
• db-journal
• db3
• dbf
• dc2
• dcr
• dcs
• ddd
• ddoc
• ddrw
• der
• design
• dgc
• djvu
• dng
• doc
• docm
• docx
• dot
• dotm
• dotx
• drf
• drw
• dwg
• dxb
• erbsql
• erf
• exf
• fdb
• ffd
• fff
• fh
• fhd
• fpx
• fxg
• gray
• grey
• gry
• hbk
• hpp
• ibank
• awg
• backup
• backupdb
• ibd
• ibz
• idx
• iiq
• incpas
• jpeg
• jpg
• js
• kc2
• kdbx
• kdc
• kpdx
• lua
• mdb
• mdc
• mef
• mfw
• mmw
• moneywell
• mos
• mpg
• mrw
• myd
• ndd
• nef
• nop
• nrw
• ns2
• ns3
• ns4
• nsd
• nsf
• nsg
• nsh
• nwb
• nx1
• nx2
• nyf
• odb
• odf
• odg
• odm
• odp
• ods
• odt
• orf
• otg
• oth
• otp
• ots
• ott
• p12
• p7b
• p7c
• pat
• pcd
• pdf
• pef
• pem
• pfx
• php
• pl
• pot
• potm
• potx
• ppam
• pps
• ppsm
• ppsx
• ppt
• pptm
• pptx
• ps
• psafe3
• psd
• ptx
• py
• ra2
• raf
• rar
• raw
• rdb
• rtf
• rw2
• rwl
• rwz
• s3db
• sas7bdat
• sav
• sd0
• sd1
• sda
• sdf
• sldm
• sldx
• sql
• sqlite
• sqlite3
• sqlitedb
• sr2
• srf
• srw
• st4
• st5
• st6
• st7
• st8
• stc
• std
• sti
• stw
• stx
• sxc
• sxd
• sxg
• sxi
• sxm
• sxw
• txt
• wb2
• x3f
• xla
• xlam
• xll
• xlm
• xls
• xlsb
• xlsm
• xlsx
• xlt
• xltm
• xltx
• xlw
• xml
• ycbcra
• zip

它使用下列名称重命名加密文件：

• {original file name and extension}.encrypted