Ransom.Win32.NEMTY.THBOCBO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• cmd.exe/c vssadmin resize shadowstorage /for=A: /on=A: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=A: /on=A: /maxsize=unbounded;
• cmd.exe/c vssadmin resize shadowstorage /for=C: /on=C: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=C: /on=C: /maxsize=unbounded;
• cmd.exe/c vssadmin resize shadowstorage /for=D: /on=D: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=D: /on=D: /maxsize=unbounded;
• cmd.exe/c vssadmin resize shadowstorage /for=F: /on=F: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=F: /on=F: /maxsize=unbounded;
• "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -e {Base64 command};
• cmd.exe/c "{User Profile}\NEMTY_{7 random characters}-DECRYPT.txt";

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\NEMTY
fid = "_NEMTY_{7 random characters}_"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
daite drobovik = {Malware Name}.exe

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• DbxSvc
• OracleXETNSListener
• OracleServiceXE
• AcrSch2Svc
• AcronisAgent
• Apache2.4
• SQLWriter
• MSSQL$SQLEXPRESS
• MSSQLServerADHelper100
• MongoDB
• SQLAgent$SQLEXPRESS
• SQLBrowser
• CobianBackup11
• cbVSCService11

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• sql
• winword
• wordpad
• outlook
• thunderbird
• oracle
• excel
• onenote
• virtualboxvm

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\NEMTY

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• https://{BLOCKED}y10.hk/public/gate.php?data={configuration}

Es macht Folgendes:

• It encrypts files in fixed, removable, and network drives.
• It will not proceed with its routine if found not running on any of the following:
  • Windows 7
  • Windows 8
  • Windows 8.1
  • Windows 10
  • Windows XP