Ransom.Win32.GOHIVE.RCY

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird ausgeführt und löscht sich dann selbst.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• {Malware File Path}hive.bat → Deleted Afterwards
• {Malware File Path}shadow.bat → Deleted Afterwards
• {Drive Letter}:\{22 Random Characters}.key.hive
• {Drive Letter}:\HOW_TO_DECRYPT.txt
• {Encrypted Directory}\HOW_TO_DECRYPT.txt

Fügt die folgenden Prozesse hinzu:

• cmd /c hive.bat>NUL 2>NUL
• cmd /c shadow.bat>NUL 2>NUL
• vssadmin.exe delete shadows /all /quiet

Wird ausgeführt und löscht sich dann selbst.

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• bmr
• sql
• oracle
• postgres
• redis
• vss
• backup
• sstp

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• mspub
• msdesktop

Andere Details

Es macht Folgendes:

• It accepts the following argument:
  • -kill {process name} → Regular expression for the names of processes to be stopped.
  • -no-clean → Skip clean disk space stage
  • -skip {file name} → Regular expression for file names to be skipped
  • -stop {service name} → Regular expression for stopping services
  • -t {int} → Number of encryptor threads
• It encrypts fixed, removable and network drives