巴拉克奥巴马勒索病毒软件仅加密.EXE文件

TRex 勒索软件 2018年9月4日发布
Favorite收藏

导语:MalwareHunterTeam发现了一款以巴拉克奥巴马命名的勒索软件,该软件仅加密可执行文件。

每隔一段时间就会遇到一个非常奇怪的恶意软件,例如新的勒索软件只能加密计算机上的.EXE文件。然后它会显示一个屏幕,上面有奥巴马总统的图片以及提供解密文件的“提示”。

Barack Obama勒索软件

MalwareHunterTeam首先推文,这个勒索软件有一个奇怪的标题“巴拉克奥巴马的永恒蓝色勒索病毒”,文件属性如下所示。

文件属性

执行后,此勒索软件将终止与卡巴斯基,迈克菲和瑞星杀毒软件等防病毒软件相关的各种进程。执行终止进程的命令是:

taskkill /f /im kavsvc.exetaskkill /f /im KVXP.kxptaskkill /f /im Rav.exetaskkill /f /im Ravmon.exetaskkill /f /im Mcshield.exetaskkill /f /im VsTskMgr.exe

然后,它将扫描计算机中的.exe文件并加密它们。加密文件时,它以所有.EXE文件为目标,甚至是位于Windows文件夹下的文件。过去使用加密可执行文件的其他勒索软件通常会避开Windows文件夹,因此不会导致操作系统正常执行出现问题。

加密可执行文件

作为加密过程的一部分,此勒索软件还将修改与.exe文件关联的注册表项,以便他们使用新图标并在每次有人启动可执行文件时运行病毒。修改后的键值如下所示。

HKLM\SOFTWARE\Classes\exe
HKLM\SOFTWARE\Classes\exe\
HKLM\SOFTWARE\Classes\exe\EditFlags2
HKLM\SOFTWARE\Classes\exe\DefaultIcon
HKLM\SOFTWARE\Classes\exe\DefaultIcon\C:\Users\User\codexgigas_.exe,0
HKLM\SOFTWARE\Classes\exe\Shell
HKLM\SOFTWARE\Classes\exe\Shell\Open
HKLM\SOFTWARE\Classes\exe\Shell\Open\Command
HKLM\SOFTWARE\Classes\exe\Shell\Open\Command\"C:\Users\User\codexgigas_.exe" "%1"

勒索软件界面中的消息指出,用户应与2200287831@qq.com上的攻击者联系以获取付款说明。

Hello, your computer is encrypted by me! Yeah, that means your EXE file isn't open! Because I encrypted it.So you can decrypt it, but you have to tip it. This is a big thing. You can email this email: 2200287831@qq.com gets more information.

目前尚不清楚这些勒索软件是如何分发的,以及开发人员是否会在付费时提供解密密钥。

奥巴马并不是唯一一位拥有勒索软件的总统。在2016年美国总统大选之前,唐纳德特朗普勒索软件被发布。

特朗普勒索软件是一个内置解密的开发版本。

本文翻译自:https://www.bleepingcomputer.com/news/security/barack-obamas-blackmail-virus-ransomware-only-encrypts-exe-files/如若转载,请注明原文地址: http://www.4hou.com/info/news/13369.html
点赞 10
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论