Ransom.Win32.NOESCAPE.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien in bestimmten Ordnern, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Fügt Konten mit Administratorrechten hinzu. Dadurch kann die Malware oder ein böswilliger Benutzer Tasks ausführen, die das betroffene System stärker gefährden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• Used to change default account picture:
  • %ProgramData%\Microsoft\User Account Pictures\user.bmp
  • %ProgramData%\Microsoft\User Account Pictures\user.png
  • %ProgramData%\Microsoft\User Account Pictures\user-32.png
  • %ProgramData%\Microsoft\User Account Pictures\user-40.png
  • %ProgramData%\Microsoft\User Account Pictures\user-48.png
  • %ProgramData%\Microsoft\User Account Pictures\user-192.png
• Used to change desktop wallpaper
  • %AppDataLocal%\noescape.png

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Windows%\winnt32.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

• %System%\notepad.exe
• %System%\cmd.exe
• %System%\mspaint.exe
• %System%\taskmgr.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• processLimit
• processLimitPayLoad

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe,%Windows%\winnt32.exe → to execute malware copy during Windows logon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\runas\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing

Andere Systemänderungen

Löscht Dateien in den folgenden Ordnern:

• %ProgramData%\Microsoft\User Account Pictures
• %Desktop%
• %Public%\Desktop

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1 → enable automatic logon

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DisableCAD = 1 → disable Secure Attention Sequence

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
shutdownwithoutlogon = 0 → disable the shutdown button in the log on to Windows dialog box

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
UseDefaultTile = 1 → apply the default account picture to all users

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableLogonBackgroundImage = 1 → disable sign-in background image

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Keyboard Layout
Scancode Map = → disable selected keyboard keys

HKEY_CURRENT_USER\Control Panel\Mouse
SwapMouseButtons = 1 → swap mouse buttons

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0 → disables User Account Control (UAC)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1 → disables Windows registry editors

HKEY_CURRENT_USER\SOFTWARE\Policies\
Microsoft\Windows\System
DisableCMD = 2 → disable command line

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoRestartShell = 0 → disables rebooting of explorer.exe

HKEY_CURRENT_USER\Control Panel\Desktop
AutoColorization = 1 → automatically pick an accent color from desktop background

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Shell\Bags\1\
Desktop
FFLags = → to randomly rearrange desktop icons

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
NoEscape
ShowWindow =

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

• %AppDataLocal%\noescape.png
  

Andere Details

Fügt zur Administratorgruppe die folgenden Konten hinzu:

• NO ESCAPE

Es macht Folgendes:

• It only proceeds to its encryption routine if it is executed in a Windows NT 10.0 OS.
  • It prompts the following message box if not executed in a Windows NT 10.0 OS.
  
  
• It prompts the following message box before encryption:
  
• It adds user accounts with random usernames.
• It adds user accounts to the following local groups:
  • Administrators
  • Users
• It changes the user name to the following:
  • NO ESCAPE
• It changes the user password to the following:
  • death
• If the malware copy is existing:
  • It displays the following window:
    
  • It terminates itself if window is closed.
  • It stretches the bitmap of the desktop and running windows.
• It prompts the following message box when executable files are opened:
  
• It terminates explorer.exe to hide taskbar.
• It randomly rearranges desktop icons.
• It blocks user input.
• It controls the system's keyboard activity to type the following on notepad.exe:
  
  • It waits for the user to enter 'yes' on notepad and then proceeds on opening the following processes:
  • %System%\cmd.exe
  • %System%\mspaint.exe
  • %System%\taskmgr.exe
• It enables automatic logon.
• It disables Ctrl+Alt+Delete keystroke combination.
• It disables the shutdown button in the log on to Windows dialog box.
• It changes the default account picture to the following images:
  
• It disables sign-in background image.
• It enables selected keyboard keys.
• It swaps mouse buttons.
• It disables User Account Control (UAC).
• It disables Windows registry editors.
• It disables command line.
• It disables rebooting of explorer.exe.
• It automatically picks an accent color from desktop background
• It executes malware copy during Windows logon.
• It deletes itself after execution.
• It restarts the machine after execution.
• It prompts the following message box when executable files are opened: