安全威脅百科全書

RANSOM_WANA.A

Publish date: 五月 13, 2017

撰文:

Cris Nowell Pantanilla


別名:

Win32/Filecoder.WannaCryptor.D (ESET-NOD32), Trojan-Ransom.Win32.Wanna.b (Kaspersky), Win32.Trojan-Ransom.WannaCry.A (GData), Ransom.WanaCrypt0r (Malwarebytes)

平台:

Windows

整體風險評比:
潛在威脅性:
潛在散播風險:
感染數量:
資訊暴露評比:

  • 惡意程式類型: Ransomware

  • 具破壞性:無

  • 被加密: 是

  • In the wild: 是

惡意程式概述

感染管道:

從互聯網上下載


詳細技術資訊

檔案大小:

3,514,368 bytes

檔案類型:

EXE

記憶體常駐型:

Yes

首批樣本接收日期:

12 五月 2017

安裝

它會將本身的下列副本放置到受影響的系統並執行它們:

  • %ProgramData%\{random}\tasksche.exe

它會放置下列元件檔案:

  • {folder of encrypted files}\@WanaDecryptor@.exe.lnk
  • {folder of encrypted files}\@Please_Read_Me@.txt
  • {folder of encrypted files}\@WanaDecryptor@.exe ← RANSOM_WCRY.I
  • %ProgramData%\{random}\00000000.eky
  • %ProgramData%\{random}\00000000.pky
  • %ProgramData%\{random}\00000000.res
  • %ProgramData%\{random}\@Please_Read_Me@.txt
  • %ProgramData%\{random}\@WanaDecryptor@.exe
  • %ProgramData%\{random}\@WanaDecryptor@.exe.lnk
  • %ProgramData%\{random}\TaskData\Tor\libeay32.dll
  • %ProgramData%\{random}\TaskData\Tor\libevent-2-0-5.dll
  • %ProgramData%\{random}\TaskData\Tor\libevent_core-2-0-5.dll
  • %ProgramData%\{random}\TaskData\Tor\libevent_extra-2-0-5.dll
  • %ProgramData%\{random}\TaskData\Tor\libgcc_s_sjlj-1.dll
  • %ProgramData%\{random}\TaskData\Tor\libssp-0.dll
  • %ProgramData%\{random}\TaskData\Tor\ssleay32.dll
  • %ProgramData%\{random}\TaskData\Tor\taskhsvc.exe
  • %ProgramData%\{random}\TaskData\Tor\tor.exe
  • %ProgramData%\{random}\TaskData\Tor\zlib1.dll
  • %ProgramData%\{random}\b.wnry ← background image
  • %ProgramData%\{random}\c.wnry ← TOR links
  • %ProgramData%\{random}\f.wnry ← list of encrypted files
  • %ProgramData%\{random}\r.wnry ← @Please_Read_Me@.txt
  • %ProgramData%\{random}\s.wnry ← TOR module
  • %ProgramData%\{random}\t.wnry
  • %ProgramData%\{random}\taskdl.exe
  • %ProgramData%\{random}\tasksche.exe
  • %ProgramData%\{random}\taskse.exe
  • %ProgramData%\{random}\u.wnry ← @WanaDecryptor@.exe
  • %All User Profile%\{random}\00000000.eky
  • %All User Profile%\{random}\00000000.pky
  • %All User Profile%\{random}\00000000.res
  • %All User Profile%\{random}\@Please_Read_Me@.txt
  • %All User Profile%\{random}\@WanaDecryptor@.exe
  • %All User Profile%\{random}\@WanaDecryptor@.exe.lnk
  • %All User Profile%\{random}\TaskData\Tor\libeay32.dll
  • %All User Profile%\{random}\TaskData\Tor\libevent-2-0-5.dll
  • %All User Profile%\{random}\TaskData\Tor\libevent_core-2-0-5.dll
  • %All User Profile%\{random}\TaskData\Tor\libevent_extra-2-0-5.dll
  • %All User Profile%\{random}\TaskData\Tor\libgcc_s_sjlj-1.dll
  • %All User Profile%\{random}\TaskData\Tor\libssp-0.dll
  • %All User Profile%\{random}\TaskData\Tor\ssleay32.dll
  • %All User Profile%\{random}\TaskData\Tor\taskhsvc.exe
  • %All User Profile%\{random}\TaskData\Tor\tor.exe
  • %All User Profile%\{random}\TaskData\Tor\zlib1.dll
  • %All User Profile%\{random}\b.wnry
  • %All User Profile%\{random}\c.wnry ← TOR links
  • %All User Profile%\{random}\f.wnry ← list of encrypted files
  • %All User Profile%\{random}\r.wnry ← @Please_Read_Me@.txt
  • %All User Profile%\{random}\s.wnry ← TOR module
  • %All User Profile%\{random}\t.wnry
  • %All User Profile%\{random}\taskdl.exe
  • %All User Profile%\{random}\tasksche.exe
  • %All User Profile%\{random}\taskse.exe
  • %All User Profile%\{random}\u.wnry ← @WanaDecryptor@.exe
  • %User Temp%\{number}.WNCRYT ← temporary files
  • %Desktop%\@Please_Read_Me@.txt
  • %Desktop%\@WanaDecryptor@.bmp
  • %Desktop%\@WanaDecryptor@.exe

(注意:%User Temp% 是目前使用者的 Temp 資料夾,通常是 C:\Documents and Settings\{user name}\Local Settings\Temp(Windows 2000、XP 和 Server 2003)。. %Desktop% 是目前使用者的桌面,通常是 C:\Windows\Profiles\{user name}\Desktop(Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Desktop (Windows NT),以及 C:\Documents and Settings\{User Name}\Desktop(Windows 2000、XP 和 Server 2003)。)

它會建立下列資料夾:

  • %ProgramData%\{random} ← malware path
  • %ProgramData%\{random}\msg ← language notes
  • %ProgramData%\{random}\TaskData
  • %ProgramData%\{random}\TaskData\Data
  • %ProgramData%\{random}\TaskData\Data\Tor
  • %ProgramData%\{random}\TaskData\Tor
  • %All User Profile%\{random}\msg ← language notes
  • %All User Profile%\{random}\TaskData
  • %All User Profile%\{random}\TaskData\Data
  • %All User Profile%\{random}\TaskData\Data\Tor
  • %All User Profile%\{random}\TaskData\Tor

它會新增下列 Mutex 以確保任何時候只會有一個副本執行:

  • Global\MsWinZonesCacheCounterMutexA

自動啟動技術

它會新增下列登錄項目,使其在每次系統啟動時自動執行:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%ProgramData%\{random}\tasksche.exe"

修改其他系統

它會新增下列登錄機碼:

HKEY_CURRENT_USER\Software\Classes\
VirtualStore\MACHINE\SOFTWARE\
WanaCrypt0r

它會新增下列登錄項目:

HKEY_CURRENT_USER\Software\WanaCrypt0r
wd = "%ProgramData%\{random}"

它會修改下列登錄項目以變更桌面底色圖案:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Desktop%\@WanaDecryptor@.bmp"

(Note: The default value data of the said registry entry is {user settings}.)

它會將系統的桌面底色圖案設為下列影像:

其他詳細資訊

它會加密副檔名如下的檔案:

  • .123
  • .3dm
  • .3ds
  • .3g2
  • .3gp
  • .602
  • .7z
  • .ARC
  • .PAQ
  • .accdb
  • .aes
  • .ai
  • .asc
  • .asf
  • .asm
  • .asp
  • .avi
  • .backup
  • .bak
  • .bat
  • .bmp
  • .brd
  • .bz2
  • .cgm
  • .class
  • .cmd
  • .cpp
  • .crt
  • .cs
  • .csr
  • .csv
  • .db
  • .dbf
  • .dch
  • .der
  • .dif
  • .dip
  • .djvu
  • .doc
  • .docb
  • .docm
  • .docx
  • .dot
  • .dotm
  • .dotx
  • .dwg
  • .edb
  • .eml
  • .fla
  • .flv
  • .frm
  • .gif
  • .gpg
  • .gz
  • .hwp
  • .ibd
  • .iso
  • .jar
  • .java
  • .jpeg
  • .jpg
  • .js
  • .jsp
  • .key
  • .lay
  • .lay6
  • .ldf
  • .m3u
  • .m4u
  • .max
  • .mdb
  • .mdf
  • .mid
  • .mkv
  • .mml
  • .mov
  • .mp3
  • .mp4
  • .mpeg
  • .mpg
  • .msg
  • .myd
  • .myi
  • .nef
  • .odb
  • .odg
  • .odp
  • .ods
  • .odt
  • .onetoc2
  • .ost
  • .otg
  • .otp
  • .ots
  • .ott
  • .p12
  • .pas
  • .pdf
  • .pem
  • .pfx
  • .php
  • .pl
  • .png
  • .pot
  • .potm
  • .potx
  • .ppam
  • .pps
  • .ppsm
  • .ppsx
  • .ppt
  • .pptm
  • .pptx
  • .ps1
  • .psd
  • .pst
  • .rar
  • .raw
  • .rb
  • .rtf
  • .sch
  • .sh
  • .sldm
  • .sldx
  • .slk
  • .sln
  • .snt
  • .sql
  • .sqlite3
  • .sqlitedb
  • .stc
  • .std
  • .sti
  • .stw
  • .suo
  • .svg
  • .swf
  • .sxc
  • .sxd
  • .sxi
  • .sxm
  • .sxw
  • .tar
  • .tbk
  • .tgz
  • .tif
  • .tiff
  • .txt
  • .uop
  • .uot
  • .vb
  • .vbs
  • .vcd
  • .vdi
  • .vmdk
  • .vmx
  • .vob
  • .vsd
  • .vsdx
  • .wav
  • .wb2
  • .wk1
  • .wks
  • .wma
  • .wmv
  • .xlc
  • .xlm
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx
  • .xlt
  • .xltm
  • .xltx
  • .xlw
  • .zip

解決方案

最低掃瞄引擎:

9.850

第一個 VSAPI 病毒碼檔案:

13.400.05

第一個 VSAPI 病毒碼發行日期:

12 五月 2017

VSAPI OPR 病毒碼版本:

13.401.00

VSAPI OPR 病毒碼發行日期:

13 五月 2017

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 2

識別並終止所偵測到如 RANSOM_WANA.A 的檔案

[ Learn More ]
  1. 對於 Windows 98 和 ME 使用者,「Windows 工作管理員」可能不會顯示所有執行中的處理程序。在此情況下,請使用協力廠商處理程序檢視器(建議使用 Process Explorer)來終止惡意程式/可能的資安威脅程式/間諜程式檔案。您可以在這裡下載上述工具。
  2. 如果偵測到的檔案顯示於「Windows 工作管理員」或 Process Explorer 中,但卻無法將它刪除,請將電腦重新啟動至安全模式。如果要執行此動作,請參考此連結瞭解完整步驟。
  3. 如果偵測到的檔案未顯示於「Windows 工作管理員」或 Process Explorer 中,請繼續執行下列步驟。

Step 3

刪除此登錄機碼

[ Learn More ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章


  • In HKEY_CURRENT_USER\Software\Classes\VirtualStore\MACHINE\SOFTWARE
    • WanaCrypt0r
336.2

如果要刪除此惡意程式/可能的資安威脅程式/間諜程式建立的登錄機碼,請執行下列動作:

  1. 開啟「登錄編輯程式」。如果要執行此動作,請按一下「開始∣執行」,在提供的文字方塊中輸入 regedit,然後按 Enter 鍵。
  2. 在「登錄編輯程式」視窗左邊的窗格中,按兩下下列登錄機碼:
    DATA_GENERIC_KEY
  3. 繼續在左邊的窗格中尋找並刪除下列機碼:
    DATA_GENERIC_KEYDEL
  4. 關閉「登錄編輯程式」。

Step 4

刪除此登錄值

[ Learn More ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章


 
  • In HKEY_CURRENT_USER\Software\WanaCrypt0r
    • wd = "%ProgramData%\{random}"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {random} = "%ProgramData%\{random}\tasksche.exe"

Step 5

搜尋並刪除這些資料夾

[ Learn More ]
請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的資料夾。
%ProgramData%\{random}
%ProgramData%\{random}\msg
%ProgramData%\{random}\TaskData
%ProgramData%\{random}\TaskData\Data
%ProgramData%\{random}\TaskData\Data\Tor
%ProgramData%\{random}\TaskData\Tor
%All User Profile%\{random}\msg
%All User Profile%\{random}\TaskData
%All User Profile%\{random}\TaskData\Data
%All User Profile%\{random}\TaskData\Data\Tor
%All User Profile%\{random}\TaskData\Tor

Step 6

搜尋並刪除這些檔案

[ Learn More ]
有些可能是隱藏的元件檔案。請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的檔案和資料夾。
{folder of encrypted files}\@WanaDecryptor@.exe.lnk
{folder of encrypted files}\@Please_Read_Me@.txt
{folder of encrypted files}\@WanaDecryptor@.exe
%User Temp%\{number}.WNCRYT ← temporary files
%Desktop%\@Please_Read_Me@.txt
%Desktop%\@WanaDecryptor@.bmp
%Desktop%\@WanaDecryptor@.exe
DATA_GENERIC_FILENAME_1
  • 在「查詢」下拉式清單中選取「我的電腦」,然後按 Enter 鍵。
  • 找到檔案之後,請選取檔案,然後按 SHIFT+DELETE 以永久刪除檔案。
  • 針對其餘的檔案重複步驟 2 到 4:
      {folder of encrypted files}\@WanaDecryptor@.exe.lnk
      {folder of encrypted files}\@Please_Read_Me@.txt
      {folder of encrypted files}\@WanaDecryptor@.exe
      %User Temp%\{number}.WNCRYT ← temporary files
      %Desktop%\@Please_Read_Me@.txt
      %Desktop%\@WanaDecryptor@.bmp
      %Desktop%\@WanaDecryptor@.exe
  • Step 7

    重新啟動至標準模式,並使用您的趨勢科技產品掃瞄電腦是否有偵測到如 RANSOM_WANA.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。

    Step 8

    重設桌面內容

    [ Learn More ]

    Step 10

    使用您的趨勢科技產品掃瞄電腦,以刪除所偵測到如 RANSOM_WANA.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


    說說您對安全威脅百科的想法

    透過以下社群網站聯絡我們