Как работает Crypto-Ransomware Vaccine от Bitdefender?

Question

Я прочитал ответы (в настоящее время 66), но до сих пор не знаю, как работает этот инструмент .

Разван Стойка говорит:
Это вакцина, но она может (и, вероятно, будет) обновляться против новых штаммов, поэтому необходимо запускать при запуске. Он не отслеживает поведение, он просто использует некоторые приемы, чтобы предотвратить заражение вашей системы этими определенными семействами вымогателей ».

Я прочитал статьи и Google, но все еще хотите знать, как это на самом деле?
«Новый инструмент Bitdefender использует преимущества этих проверок вымогателей, создавая впечатление, что компьютеры уже заражены текущими версиями Locky, TeslaCrypt или CTB-Locker. Это предотвращает заражение этих программ снова. "

Что значит "вакцины"? Какая часть Windows сообщает Ransomware, что она уже заражена этим?

Answer 1

Crypto-Ransomware Vaccine от Bitdefender вставляет маркеры распознавания, которые вымогатели используют для проверки того, заражено ли оно уже системой, например запись в реестре.

Троян Locky представляет собой исполняемый файл, и после запуска троянец проверяет наличие и содержимое приведенных ниже разделов реестра.

|            Path                         |    Type     |    Type       |
|:----------------------------------------|------------:|:-------------:|
| HKEY_CURRENT_USERSoftwareLockyid        |  REG_SZ     |  Infection ID    
| HKEY_CURRENT_USERSoftwareLockypubkey    |  REG_BINARY |  Public RSA key in MSBLOB format  
| HKEY_CURRENT_USERSoftwareLockypaytext   |  REG_BINARY |  Text shown to the victim   
| HKEY_CURRENT_USERSoftwareLockycompleted |  REG_DWORD  |  Status (whether encryption is completed)

Не имеет отношения к вопросу, но может помочь многим людям, ставшим жертвами:
Если вы хотите знать, какой тип вымогателей напал на вас, есть сайт, который может помочь вам в этом. Иногда в Интернете доступны ключи дешифрования, и на этом сайте вы найдете ссылку, по которой можно скачать расшифровщик.

Я обновлю ответ с дополнительной информацией ...