Ransom.Win32.MAZE.AC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Erzeugt einen Piepston.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %All Users Profile%\memes.tmp

Fügt die folgenden Prozesse hinzu:

• wmic shadowcopy delete

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{random characters} -> string is generated from system information

Andere Systemänderungen

Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\111.bmp

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• ida.exe
• ida64.exe
• x32dbg.exe
• x64dbg.exe
• python.exe
• fiddler.exe
• dumpcap.exe
• procmon.exe
• procexp.exe
• procmon64.exe
• procexp64.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• User Name
• Computer Name
• Process Integrity Level
• Installed AVs
• OS Name
• Machine Role
• Number of Drives
• Shared Folders
• User Language
• System Language
• System Uptime

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{IP}/{Strings}/{Random String}.{Extensions} where
  • IP:
    • {BLOCKED}.{BLOCKED}.114.4
    • {BLOCKED}.{BLOCKED}.114.11
    • {BLOCKED}.{BLOCKED}.114.25
    • {BLOCKED}.{BLOCKED}.114.26
    • {BLOCKED}.{BLOCKED}.114.31
    • {BLOCKED}.{BLOCKED}.114.32
    • {BLOCKED}.{BLOCKED}.114.37
    • {BLOCKED}.{BLOCKED}.114.38
    • {BLOCKED}.{BLOCKED}.114.77
    • {BLOCKED}.{BLOCKED}.114.79
  • Strings:
    • news
    • login
    • register
    • logout
    • edit
    • content
    • private
    • messages
    • account
    • view
    • webauth
    • webaccess
    • archive
    • forum
    • post
    • signin
    • signout
    • update
    • support
    • ticket
    • task
    • tracker
    • analytics
    • check
    • checkout
    • payout
    • withdrawal
    • sepa
    • create
    • transfer
    • wire
  • Extensions :
    • .php
    • .asp
    • .aspx
    • .cgi
    • .jsp
    • .jspx
    • .action
    • .html
    • .phtml
    • .shtml

Andere Details

Erzeugt einen Piepston.

Es macht Folgendes:

• It detects the role of the machine infected and displays the appropriate string in the wallpaper:
  • standalone server
  • server in corporate network
  • workstation in corporate network
  • home computer
  • primary domain controller
  • backup server
  • very valuable for you
• It uses Windows Text-to-Speech functionality to play the following message:
  • {Username}! Alert! {Username}! Alert! Dear {Username}, your files have been encrypted by Maze Ransomware! Attention! You need to buy decryptor in order to restore the files.