Ransom.Win32.SPOOSH.THGAGBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• %System%\cmd.exe /C "vssadmin delete shadows /all /quiet"
• %System%\cmd.exe /C "rd /s /q %systemdrive%\$Recycle.bin"
• %System%\WindowsPowershell\v1.0\powershell.exe -Command "New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name EnableLinkedConnections -Value 1 -PropertyType 'DWord'"
• %System%\WindowsPowershell\v1.0\powershell.exe -Command "get-service LanmanWorkstation |Restart-Service –Force"
• attrib.exe -R {Directory to Encrypt}\{File Name to Encrypt}.{File Extension to Encrypt}
• mshta.exe %System Root%\Boot\cs-CZ\information.hta

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Printers\SettingsLow
DI = {8 Random Alphanumeric Characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

• %AppDataLocal%\wallpaper.jpg

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• Agntsvc.exe
• Dbeng50.exe
• Dbsnmp.exe
• Encsvc.exe
• Excel.exe
• Firefox.exe
• Infopath.exe
• Isqlplussvc.exe
• Msaccess.exe
• Mspub.exe
• Mydesktopqos.exe
• Mydesktopservice.exe
• Notepad.exe
• Ocautoupds.exe
• Ocomm.exe
• Ocssd.exe
• Onenote.exe
• Oracle.exe
• Outlook.exe
• Powerpnt.exe
• Sqbcoreservice.exe
• Sql.exe
• Steam.exe
• Synctime.exe
• Tbirdconfig.exe
• Thebat.exe
• Thunderbird.exe
• Ut.exe
• Utweb.exe
• Visio.exe
• Winword.exe
• Wordpad.exe
• Xfssvccon.exe

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %AppDataLocal%\wallpaper.jpg

Datendiebstahl

Folgende Daten werden gesammelt:

• Processor Name
• Memory
• Internal IP Address
• Manufacturer
• OS Version
• Computer Name
• Product Name
• External IP Address
• Device ID

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Printers\SettingsLow

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• tcp://{BLOCKED}.{BLOCKED}.154.137:21119

Es macht Folgendes:

• It terminates itself if the computer language is Russian
• It downloads the desktop wallpaper to be set from the following url:
  
  • https://i.{BLOCKED}g.cc/JzpfvBFf/wallapaper.jpg
• It connects to the following url to identify the machine's external IP address:
  
  • https://{BLOCKED}rnalip.com