RANSOM_HDDCRYPTOR.A

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %System Root%\DC22\dcapi.dll
• %System Root%\DC22\dccon.exe
• %System Root%\DC22\dcrypt.exe
• %System Root%\DC22\dcrypt.sys
• %System Root%\DC22\log_file.txt - Log of malware activities
• %System Root%\DC22\Mount.exe
• %System Root%\DC22\netpass.exe
• %System Root%\DC22\netuse.txt - used to store information about network users
• %System Root%\DC22\netpass.txt - used to store user passwords

(注意： %System Root% 是根文(wén)件夹，通常位于 C:\。它也是操作(zuò)系统所在的位置。)

它植入和执行下列文(wén)件：

• %System Root%\DC22\dcinst.exe - with parameter: -setup

(注意： %System Root% 是根文(wén)件夹，通常位于 C:\。它也是操作(zuò)系统所在的位置。)

它添加下列进程：

• For Windows XP or Server 2003:
  
  • %System%\cmd.exe /c net user /add mythbusters 123456
  • %System%\cmd.exe /c net localgroup administrators mythbusters /add
  • %System%\cmd.exe /c cmd /c net use >> c:\dc22\netuse.txt
  • %System%\cmd.exe /c C:\DC22\netpass.exe /stab C:\DC22\netpass.txt
• For Windows Vista and above:
  
  • %System%\cmd.exe schtasks /create /tn DefragmentService /TR \"cmd.exe /c net use >> c:\\dc22\\netuse.txt\" /sc DAILY
  • %System%\cmd.exe schtasks /run /TN DefragmentService
  • %System%\cmd.exe schtasks /delete /TN DefragmentService /F

(注意: %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

自启动技(jì )术

它會新(xīn)增並執行下列服務：

• Service Name: DefragmentService
  Display Name: DefragmentService
  Start Type: SERVICE_AUTO_START
  Binary Pathname: {malware path}\{malware name}.exe 123141