安全威脅百科全書

RANSOM_WANA.A

Publish date: 五月 13, 2017

撰文:

Cris Nowell Pantanilla


別名:

Win32/Filecoder.WannaCryptor.D (ESET-NOD32), Trojan-Ransom.Win32.Wanna.b (Kaspersky), Win32.Trojan-Ransom.WannaCry.A (GData), Ransom.WanaCrypt0r (Malwarebytes)

平台:

Windows

整體風險評比:
潛在威脅性:
潛在散播風險:
資訊暴露評比:

  • 惡意程式類型: Ransomware

  • 具破壞性:無

  • 被加密: 是

  • In the wild: 是

惡意程式概述

詳細技術資訊

解決方案

最低掃瞄引擎:

9.850

第一個 VSAPI 病毒碼檔案:

13.400.05

第一個 VSAPI 病毒碼發行日期:

12 五月 2017

VSAPI OPR 病毒碼版本:

13.401.00

VSAPI OPR 病毒碼發行日期:

13 五月 2017

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 2

識別並終止所偵測到如 RANSOM_WANA.A 的檔案

[ Learn More ]
  1. 對於 Windows 98 和 ME 使用者,「Windows 工作管理員」可能不會顯示所有執行中的處理程序。在此情況下,請使用協力廠商處理程序檢視器(建議使用 Process Explorer)來終止惡意程式/可能的資安威脅程式/間諜程式檔案。您可以在這裡下載上述工具。
  2. 如果偵測到的檔案顯示於「Windows 工作管理員」或 Process Explorer 中,但卻無法將它刪除,請將電腦重新啟動至安全模式。如果要執行此動作,請參考此連結瞭解完整步驟。
  3. 如果偵測到的檔案未顯示於「Windows 工作管理員」或 Process Explorer 中,請繼續執行下列步驟。

Step 3

刪除此登錄機碼

[ Learn More ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章


  • In HKEY_CURRENT_USER\Software\Classes\VirtualStore\MACHINE\SOFTWARE
    • WanaCrypt0r
336.2

如果要刪除此惡意程式/可能的資安威脅程式/間諜程式建立的登錄機碼,請執行下列動作:

  1. 開啟「登錄編輯程式」。如果要執行此動作,請按一下「開始∣執行」,在提供的文字方塊中輸入 regedit,然後按 Enter 鍵。
  2. 在「登錄編輯程式」視窗左邊的窗格中,按兩下下列登錄機碼:
    DATA_GENERIC_KEY
  3. 繼續在左邊的窗格中尋找並刪除下列機碼:
    DATA_GENERIC_KEYDEL
  4. 關閉「登錄編輯程式」。

Step 4

刪除此登錄值

[ Learn More ]

重要:不當編輯「Windows 登錄」可能會導致系統故障而無法回復。請在您有把握或有系統管理員協助的情況下執行此步驟。或者,在修改電腦的登錄之前,先閱讀此 Microsoft 文章


 
  • In HKEY_CURRENT_USER\Software\WanaCrypt0r
    • wd = "%ProgramData%\{random}"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {random} = "%ProgramData%\{random}\tasksche.exe"

Step 5

搜尋並刪除這些資料夾

[ Learn More ]
請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的資料夾。
%ProgramData%\{random}
%ProgramData%\{random}\msg
%ProgramData%\{random}\TaskData
%ProgramData%\{random}\TaskData\Data
%ProgramData%\{random}\TaskData\Data\Tor
%ProgramData%\{random}\TaskData\Tor
%All User Profile%\{random}\msg
%All User Profile%\{random}\TaskData
%All User Profile%\{random}\TaskData\Data
%All User Profile%\{random}\TaskData\Data\Tor
%All User Profile%\{random}\TaskData\Tor

Step 6

搜尋並刪除這些檔案

[ Learn More ]
有些可能是隱藏的元件檔案。請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的檔案和資料夾。
{folder of encrypted files}\@WanaDecryptor@.exe.lnk
{folder of encrypted files}\@Please_Read_Me@.txt
{folder of encrypted files}\@WanaDecryptor@.exe
%User Temp%\{number}.WNCRYT ← temporary files
%Desktop%\@Please_Read_Me@.txt
%Desktop%\@WanaDecryptor@.bmp
%Desktop%\@WanaDecryptor@.exe
DATA_GENERIC_FILENAME_1
  • 在「查詢」下拉式清單中選取「我的電腦」,然後按 Enter 鍵。
  • 找到檔案之後,請選取檔案,然後按 SHIFT+DELETE 以永久刪除檔案。
  • 針對其餘的檔案重複步驟 2 到 4:
      {folder of encrypted files}\@WanaDecryptor@.exe.lnk
      {folder of encrypted files}\@Please_Read_Me@.txt
      {folder of encrypted files}\@WanaDecryptor@.exe
      %User Temp%\{number}.WNCRYT ← temporary files
      %Desktop%\@Please_Read_Me@.txt
      %Desktop%\@WanaDecryptor@.bmp
      %Desktop%\@WanaDecryptor@.exe
  • Step 7

    重新啟動至標準模式,並使用您的趨勢科技產品掃瞄電腦是否有偵測到如 RANSOM_WANA.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。

    Step 8

    重設桌面內容

    [ Learn More ]

    Step 10

    使用您的趨勢科技產品掃瞄電腦,以刪除所偵測到如 RANSOM_WANA.A 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


    說說您對安全威脅百科的想法

    透過以下社群網站聯絡我們