Ransom.Win32.DARKRACE.THCOFBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %ProgramData%\icon.ico → icon for encrypted files

Fügt die folgenden Prozesse hinzu:

• vssadmin Delete Shadows /All /Quiet
• wmic shadowcopy delete /nointeractive
• cmd %ProgramData%\1.bat
• ping 127.0.0.1 -n 2
• taskkill /f /im {process}

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• CheckMutex

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.f58A66B51
{default} = f58A66B51 file → register extension of encrypted file to system

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.f58A66B51\DefaultIcon
{default} = %ProgramData%\icon.ico → set default icon for encrypted files

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number} → deleted afterwards

Ändert die folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
Owner = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
SessionHash = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
Sequence = 1

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
RegFiles0000 = {full path of file to encrypt}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
RegFilesHash = {hex values}

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• vss
• sql
• svc$
• memtas
• mepocs
• msexchange
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• sql
• oracle
• mysq
• chrome
• veeam
• firefox
• excel
• msaccess
• onenote
• outlook
• powerpnt
• winword
• wuauclt

Andere Details

Es macht Folgendes:

• It encrypts the following in the affected system:
  • Local Drives
  • Network Shares
• It clears event logs to hide its malicious activities.
• It shuts down the system to prevent access from the user.
• It empties the recycle bin of the affected system.