Ransom.Win32.AVADDON.YJAF-A - Enciclopédia de ameaças
Analisado por: Mohammed Malubay
Modificado por: : Alyssa Christelle Ramos
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Pode ser baixado de sites remotos por outro malware/grayware/spyware.
Tipo de compactação: 1,078,784 bytes
Data de recebimento das amostras iniciais: 09 de junho de 2020
Carga útil: Connects to URLs/IPs, Disables services, Encrypts files, Terminates processes
Pode ser baixado de sites remotos pelo seguinte malware/grayware/spyware:
Ele deixa as seguintes cópias dele mesmo no sistema infectado:
(Observação: %Application Data% é a pasta de dados de aplicativos do usuário atual, que geralmente é C:\Windows\Profiles\{nome do usuário}\Application Data, no Windows 98 e ME; C:\WINNT\Profiles\{nome do usuário}\Application Data, no Windows NT; C:\Documents and Settings\{nome do usuário}\Local Settings\Application Data, no Windows 2000(32-bit), XP e Server 2003(32-bit); e C:\Users\{nome do usuário}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) e 10(64-bit).)
Tcnica de inicializao automtica
Ele adiciona as seguintes entradas de registro para habilitar sua execução automática a cada inicialização do sistema:
Outras modificaes no sistema
Ele adiciona as seguintes entradas de registro:
Ele adiciona as seguintes entradas de registro como parte de sua rotina de instalação:
Ele altera o papel de parede do computador modificando as seguintes entradas de registro:
Define o papel de parede a área de trabalho do sistema como a seguinte imagem:
Ele encerra os seguintes serviços, se encontrados no sistema infectado:
Ele encerra processos ou serviços que contenham qualquer uma das seguintes strings, se encontrados executando na memória do sistema infectado:
Adiciona estas chaves de registro:
Exclua esta chave de registro
Importante: Editar o Registro do Windows de maneira incorreta pode causar danos irreversíveis ao sistema. Realize esta etapa apenas se você tiver conhecimento ou tiver como pedir ajuda ao administrador do seu sistema. Ou então, verifique primeiro este artigo da Microsoft antes de modificar o registro do seu computador.
Para excluir chaves de registro que este malware/grayware/spyware criou:
Abra o Editor de Registro. Para isso, clique em Iniciar>Executar, digite regedit na caixa de texto e pressione a tecla Enter.
No painel à esquerda da janela do Editor de Registro, clique duas vezes em:
Ainda no painel esquerdo, localize e exclua a chave:
Exclua esse valor do registro
Para excluir o valor do registro que este malware criou:
No painel à direita, localize e exclua a entrada:
Restaure este valor modificado de registro
Para restaurar o valor do registro que este malware/grayware/spyware modificou:
Abra o Editor de Registro. Clique em Iniciar>Executar, digite REGEDIT e pressione a tecla Enter:
No painel à esquerda, clique duas vezes em:
No painel à direita, localize o valor do registro:
Clique com o botão direito do mouse no nome do valor e selecione Modificar. Altere os dados de valor desta entrada para:
Again No painel à direita, localize o valor do registro:
Pode ser que alguns arquivos de componente estejam ocultos. Verifique se a caixa de seleção Pesquisar pastas e arquivos ocultos em "Mais opções avançadas" está marcada para incluir todas as pastas e arquivos ocultos no resultado da pesquisa.
Para excluir arquivos de componente malware/grayware/spyware:
Clique com o botão direto do mouse em Iniciar e, em seguida, em Pesquisar... ou Procurar..., dependendo da versão do Windows que você estiver executando.
Na caixa de entrada, digite:
Na lista suspensa Procurar em, selecione Meu Computador e pressione a tecla Enter.
Uma vez localizado, selecione o arquivo e pressione SHIFT+DELETE para excluí-lo permanentemente.
Repita as etapas de 2 a 4 para os arquivos restantes:
Reinicie no modo normal e faça uma varredura em seu computador com o produto da Trend Micro em busca de arquivos detectados como Ransom.Win32.AVADDON.YJAF-A Se os arquivos detectados já tiverem sido limpos, excluídos ou colocados em quarentena pelo seu produto da Trend Micro, nada mais é necessário. Você pode optar por simplesmente excluir os arquivos em quarentena. Para obter mais informações, verifique a página da Base de Conhecimento.