RANSOM_JSRAA.D

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

新(xīn)病毒详细信息

它以電(diàn)子邮件消息附件的形式出现，而此垃圾邮件由其他(tā)恶意软件/灰色软件/间谍软件或恶意用(yòng)户发送。

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = "{malware path and filename}.js argument"

其他(tā)系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\RAA\Raa-fnl

HKEY_CURRENT_USER\RAA\Raa-DI

它添加下列注册表项作(zuò)為(wèi)安(ān)装(zhuāng)例程的一部分(fēn)：

HKEY_CURRENT_USER\RAA\Raa-fnl
(Default) = "beenFinished"

HKEY_CURRENT_USER\RAA\Raa-DI
(Default) = "{victim ID}"

它删除下列注册表键值:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS

(Note: This is the Windows Volume Shadow Copy (VSS) Service)

其他(tā)详细信息

它使用(yòng)下列扩展名(míng)加密文(wén)件：

• .doc
• .xls
• .rtf
• .pdf
• .dbf
• .jpg
• .dwg
• .cdr
• .psd
• .cd
• .mdb
• .png
• .lcd
• .zip
• .rar
• .locked
• ~
• $
• csv

它植入下列文(wén)件/组件：

• %My Documents%\doc_attached_{5 random characters} - word document containing fake error message in Russian language
• %Desktop%\!!!README!!!{random characters}.rtf - ransom note
• {Drive}:\!!!README!!!{random characters}.rtf - ransom note

  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(注意: %Desktop% 是当前用(yòng)户的桌面，通常位于 C:\Windows\Profiles\{user name}\Desktop (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT) 和 C:\Documents and Settings\{User Name}\桌面 (Windows 2000、XP 和 Server 2003)。)