Ransom.Win32.WANNAREN.D

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• MsDtsServer100
• MsDtsServer130
• MSSQL
• MSSQLFDLauncher
• MSSQLSERVER
• MSSQLServerADHelper100
• MSSQLServerOLAPService
• ReportServer
• Samss
• SQLAgent
• SQLBrowser
• SQLSERVERAGENT
• SQLTELEMETRY
• SQLWriter
• SSISTELEMETRY130
• Storflt
• TMBMServer
• UniFi
• veeamcatalogsvc
• veeamcloudsvc
• veeamdeploysvc
• vmicguestinterface
• vmicheartbeat
• vmickvpexchange
• vmicrdv
• vmicshutdown
• vmictimesync
• vmicvss

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• agntsvc.exe
• dbeng50.exe
• dbsnmp.exe
• encsvc.exe
• excel.exe
• fdhost.exe
• fdlauncher.exe
• firefoxconfig.exe
• infopath.exe
• msaccess.exe
• MsDtsSrvr.exe
• msftesql.exe
• msmdsrv.exe
• mspub.exe
• mydesctopservice.exe
• mysql*
• notepad*
• ntdbsmgr.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle*
• outlook.exe
• pg_*
• postgres.exe
• powerpnt.exe
• ReportingServecesService.exe
• ReportingServicesService.exe
• sqbcoreservice.exe
• sql*
• Ssms.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• UniFi.exe
• veeam*
• visio.exe
• winword.exe
• wordpad.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Processor Architecture
• Native System Info
• Number of Processors
• Shadow Copy IDs

Andere Details

Für ihre ordnungsgemäße Ausführung sind die folgenden zusätzlichen Komponenten erforderlich:

• nclauncher.exe → loader, legitimate Network Connect Launcher executable
• version.man→ encrypted binary, detected as Ransom.Win32.WANNAREN.D.enc
• event.man→ encrypted binary, detected as Ransom.Win32.WANNAREN.D.enc

Es macht Folgendes:

• It checks for the existence of a "CONFIG" file:
  • If it exists,
    It uses the following settings:
    • Appended extension to encrypted files: .jstss
    • File name of Ransom note: READ ME.TXT
    • Ransom note contents: THIS IS TEST DECRYPT
    
    
  • If it doesn't exists,
    It proceeds with its malicious behaviors using the default settings