RANSOM.WIN32.GANDCRAB.QGS.ASF

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\pidor.bmp
• {Encrypted Folder}\{Random}-DECRYPT.txt

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\{Hex Values}.lock

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\ex_data\
data
ext = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\keys_data\
data
public = {KEY}

HKEY_LOCAL_MACHINE\SOFTWARE\keys_data\
data
private = {KEY}

Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Temp%\pidor.bmp"

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• msftesql.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlwriter.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• sqlservr.exe
• mydesktopservice.exe
• ocautoupds.exe
• agntsvc.exe
• agntsvc.exe
• agntsvc.exe
• encsvc.exe
• firefoxconfig.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• sqlservr.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• Computer Name
• Network Information
• System Language
• Machine Keyboard Layout
• OS Version and Platform
• AV Products Installed
• Processor Information
• IP Address
• Drives Information (Nerwork or Local)
• Ransom ID
• GandCrab Internal Info:
  • id
  • sub_id
  • version
  • action

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{URL}/{string1}/{string2}/{string3}.{string4}
• Where URL is equal to the following:
  • www.{BLOCKED}rsport.biz
  • www.{BLOCKED}nau.biz
  • www.{BLOCKED}iinfissi.com
  • www.{BLOCKED}ck.biz
  • www.{BLOCKED}ay.biz
  • www.{BLOCKED}m.com
  • www.{BLOCKED}ellness.com
  • www.{BLOCKED}eisshorn.com
  • www.{BLOCKED}od.com
  • www.{BLOCKED}ckhoteldavos.com
  • www.{BLOCKED}ere-locarno.com
  • www.{BLOCKED}arinet.com
  • www.{BLOCKED}moz.com
  • www.{BLOCKED}e-residenza.com
  • www.{BLOCKED}sprungzimmer24.com
  • www.{BLOCKED}e-hotel.com
  • www.{BLOCKED}emontblanc.com
  • www.{BLOCKED}el.com
  • www.{BLOCKED}odge.com
  • www.{BLOCKED}otelzurich.com
  • www.{BLOCKED}acolline.com
  • www.{BLOCKED}hotel.com
  • www.{BLOCKED}l-adelboden.com
  • www.{BLOCKED}alzermatt.com
  • www.{BLOCKED}larus.com
  • www.{BLOCKED}hof.com
  • www.{BLOCKED}enthaus.com
  • www.{BLOCKED}sel.com
  • www.{BLOCKED}e-d-hote-chez-fleury.com
  • www.{BLOCKED}blumental.com
  • www.{BLOCKED}ok.com
  • www.{BLOCKED}taine.com
  • www.{BLOCKED}inhostel.com
  • www.{BLOCKED}lbanareal.com
  • www.{BLOCKED}a.{BLOCKED}shospitality.com
  • www.{BLOCKED}oteladmiral.com
  • www.{BLOCKED}ewiesen.com
  • www.{BLOCKED}uite.com
  • www.{BLOCKED}rni-battello.com
  • www.{BLOCKED}hotel.com
  • www.{BLOCKED}gensberg.com
  • www.{BLOCKED}us.com
  • www.{BLOCKED}ermatt.com
  • www.{BLOCKED}tophesa.com
  • www.{BLOCKED}ls.com
  • www.{BLOCKED}elberg.com
  • www.{BLOCKED}n.com
  • www.{BLOCKED}ledore.com
  • www.{BLOCKED}z.com
  • www.{BLOCKED}gs-hotel.com
  • www.{BLOCKED}neva.com
  • www.{BLOCKED}paradis.com
  • www.{BLOCKED}us-toni.com
  • www.{BLOCKED}lanis.com
  • www.{BLOCKED}e.com
  • www.{BLOCKED}ach.com
  • www.{BLOCKED}nerhof.com
  • www.{BLOCKED}thotelbasel.com
  • www.{BLOCKED}biel.com
  • www.{BLOCKED}ecouronne.com
  • www.{BLOCKED}nt-hubert.com
  • www.{BLOCKED}t.com
  • www.{BLOCKED}ge.com
  • www.{BLOCKED}mentalchalet.com
  • www.{BLOCKED}golf.com
  • www.{BLOCKED}hery.com
  • www.{BLOCKED}s.com
  • www.{BLOCKED}e.com
  • www.{BLOCKED}lden.com
  • www.{BLOCKED}ok.com
  • www.{BLOCKED}taad.com
  • www.{BLOCKED}otonde.com
  • www.{BLOCKED}-crosets.com
  • www.{BLOCKED}emond.com
  • www.{BLOCKED}ido-lugano.com
  • www.{BLOCKED}tarium.org
  • www.{BLOCKED}rtia.org
  • www.{BLOCKED}le-haus.org
  • www.{BLOCKED}n.org
  • www.{BLOCKED}f.org
  • www.{BLOCKED}adelcentro.net
  • www.{BLOCKED}esurcoux.net
  • www.{BLOCKED}une.net
  • www.{BLOCKED}reirosen.net
  • www.{BLOCKED}reirosen.net
  • www.{BLOCKED}reirosen.net
  • www.{BLOCKED}h.{BLOCKED}rken.net
  • www.{BLOCKED}le.net
  • www.{BLOCKED}-schwyn.{BLOCKED}rken.net
  • www.{BLOCKED}and-garage.{BLOCKED}rken.net
  • www.{BLOCKED}o.net
  • www.{BLOCKED}fure.net
  • www.{BLOCKED}fs.net
  • www.{BLOCKED}oiffure.ch
  • www.{BLOCKED}coiffure-geneve.net
  • www.{BLOCKED}ht.net
  • www.{BLOCKED}elier.net
  • www.{BLOCKED}x.net
  • www.{BLOCKED}egas-avocats.net
  • www.{BLOCKED}mmermann.net
• Where string1 is equal to the following:
  • wp-content
  • static
  • content
  • includes
  • data
  • uploads
  • news
• Where string2 is equal to the following:
  • images
  • pictures
  • image
  • graphic
  • assets
  • pics
  • imgs
  • tmp
• Where string3 is equal to the combination of the following:
  • im
  • de
  • ka
  • ke
  • am
  • es
  • so
  • fu
  • se
  • da
  • he
  • ru
  • me
  • mo
  • th
  • zu
• Where string4 is equal to the following:
  • jpg
  • png
  • gif
  • bmp

Löscht sich nach der Ausführung selbst.