風險等級: |
高度威脅 |
摘 要: |
病毒通告:Ransom.Win32.NOKO.YPDFA 勒索病毒 |
解決辦法: |
1.在進行任何掃描之前,Windows 7、Windows 8、Windows 8.1 和 Windows 10 用戶必須禁用系統還原以允許對其計算機進行全面掃描。
2.請注意,在此惡意軟體/間諜軟體/灰色軟體執行期間,並非所有檔案、文件夾、登錄檔和條目都安裝在您的電腦上。這可能是由於安裝不完整或其他操作系統條件造成的。如果您沒有找到相同的檔案/文件夾/登錄檔,請繼續下一步。
3.以安全模式重新啟動
4.恢復此修改的登錄檔:
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\nokonoko
(Default) = Service
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control
ServicesPipeTimeout = 86400000
5.刪除該登錄檔:
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\nokonoko
6.搜尋並刪除下列檔案:
{Encrypted Directory}\NOKONOKO-readme.html
7.以正常模式重新啟動,查找檢測為Ransom.Win32.NOKO.YPDFA 的文件。
8.從備份中恢復加密文件。 |
細節描述: |
該勒索軟體以其他惡意軟體丟棄的文件或用戶在訪問惡意網站時,無意中下載到系統的檔案。它會以丟棄檔案做為勒索點,並會避免加密具有副檔名的檔案。
它會添加以下程序: if --safe-mode commandline parameter is used: "%System%\bcdedit.exe" /set {default} safeboot network "%System%\shutdown.exe" -r
它加密以下驅動器中的文件: Fixed Drives Removable Drives Remote (Network) Drives
可以在執行時中更改以下內容: Directories to avoid File extensions to avoid Ransom note content Ransom note filename Appended extension of encrypted files
可以在執行時啟用/禁用以下功能: Encryption of network shares Delete shadow copies Loading of hidden drives |
參考資訊: |
Trendmicro
|
|