Ransom.Win32.PHOBOS.THDOGBB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\GreatSim\Milling
• %User Temp%\AdobeVulcan
• %User Temp%\pb{random numbers}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %Application Data%\GreatSim\Milling\AdobeIPCBroker.exe
• %Application Data%\GreatSim\Milling\config.ini
• %Application Data%\GreatSim\Milling\cr_win_client_config.cfg
• %Application Data%\GreatSim\Milling\ground
• %Application Data%\GreatSim\Milling\IPCBox.pimx
• %Application Data%\GreatSim\Milling\StartupOptions.xml
• %Application Data%\GreatSim\Milling\ToolList.ini
• %Application Data%\GreatSim\Milling\Tool_mill.ini
• %Application Data%\GreatSim\Milling\UserManual_ch.html
• %Application Data%\GreatSim\Milling\UserManual_en.html
• %Application Data%\GreatSim\Milling\AdobeIPCBrokerCustomHook.exe
• %Application Data%\GreatSim\Milling\api-ms-win-core-console-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-console-l1-2-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-datetime-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-debug-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-errorhandling-l1-1-0.dll
• %Application Data%GreatSim\Milling\api-ms-win-core-file-l1-1-0.dll
• %Application Data%GreatSim\Milling\api-ms-win-core-file-l1-2-0.dl
• %Application Data%GreatSim\Milling\api-ms-win-core-file-l2-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-handle-l1-1-0.dl
• %Application Data%\GreatSim\Milling\api-ms-win-core-heap-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-interlocked-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-kernel32-legacy-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-libraryloader-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-localization-l1-2-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-memory-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-namedpipe-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-processenvironment-l1-1-0.dl
• %Application Data%\GreatSim\Milling\api-ms-win-core-processthreads-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-processthreads-l1-1-1.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-profile-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-rtisupport-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-string-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-synch-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-synch-l1-2-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-sysinfo-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-sysinfo-l1-2-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-timezone-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-core-util-l1-1-0.dll
• %Application Data%\GreatSim\Milling\API-MS-Win-core-xstate-l2-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-conio-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-convert-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-environment-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-filesystem-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-heap-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-locale-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-math-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-multibyte-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-private-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-process-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-runtime-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-stdio-l1-1-0.dll
• %Application Data%\GreatSim\Milling\lapi-ms-win-crt-string-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-time-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-crt-utility-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-downlevel-kernel32-l1-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-downlevel-kernel32-l2-1-0.dll
• %Application Data%\GreatSim\Milling\api-ms-win-eventing-provider-11-1-0.dll
• %Application Data%\GreatSim\Milling\boost_system-vc100-mt-1_59.dll
• %Application Data%\GreatSim\Milling\CodeParsingDLL.dll
• %Application Data%\GreatSim\Milling\controllor.dll
• %Application Data%\GreatSim\Milling\CRClient.dll
• %Application Data%\GreatSim\Milling\D3DCompiler_43.dll
• %Application Data%\GreatSim\Milling\d3dx9_43.dll
• %Application Data%\GreatSim\Milling\drmd.dll
• %Application Data%\GreatSim\Milling\Engine.dll
• %Application Data%\GreatSim\Milling\libcui40.dll
• %Application Data%\GreatSim\Milling\Machining.exe
• %Application Data%\GreatSim\Milling\mfc100u.dll
• %Application Data%\GreatSim\Milling\msvcp100.dll
• %Application Data%\GreatSim\Milling\msvcp140.dll
• %Application Data%\GreatSim\Milling\msvcp140_1.dll
• %Application Data%\GreatSim\Milling\msvcp140_2.dl
• %Application Data%\GreatSim\Milling\msvcp140_atomic_wait.dll
• %Application Data%\GreatSim\Milling\msvcp140_codecvt_ids.dll
• %Application Data%\GreatSim\Milling\msvcr100.dll
• %Application Data%\GreatSim\Milling\Options.dll
• %Application Data%\GreatSim\Milling\TmEvent.dll
• %Application Data%\GreatSim\Milling\tracegen.exe
• %Application Data%\GreatSim\Milling\triangulation.dll
• %Application Data%\GreatSim\Milling\ucrtbase.dll
• %Application Data%\GreatSim\Milling\uninst.exe
• %Application Data%\GreatSim\Milling\vccorlib140.dll
• %Application Data%\GreatSim\Milling\vcruntime140.dll
• %Application Data%\GreatSim\Milling\xdf.dll
• %User Temp%\AdobeVulcan\AdobeIPCBroker.log
• %User Temp%\pb{random numbers}\pbfprop.dat
• %User Temp%\pb{random numbers}\pbdlg.dat
• %User Temp%\pb{random numbers}\pblng.dat
• %User Temp%\pb{random numbers}\PB3Dll.dll
• %User Temp%\pb{random numbers}\PBCore.dll
• %Windows%\Logs\WindowsBackup\Wbadmin.0.etl
• %AppDataLocal%\AdobeIPCBroker.exe
• %User Startup%\AdobeIPCBroker.exe
• %Common Startup%\AdobeIPCBroker.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Common Startup% ist der gemeinsame Autostart-Ordner des Systems, normalerweise C:\Windows\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\All Users\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• %Application Data%\GreatSim\Milling\AdobeIPCBroker.exe
• %Application Data%\GreatSim\Milling\AdobeIPCBroker.exe -relaunchedForIntegrityLevel -launchedbyvulcan-2372 %Application Data%\GreatSim\Milling\AdobeIPCBroker.exe
• %System%\cmd.exe
• vssadmin delete shadows /all /quiet
• netsh advfirewall set currentprofile state off
• wmic shadowcoopy delete
• netsh firewall set opmode=disable
• bcedit /set {default} bootstatuspolicy ignoreallfailures
• bcedit /set {default} recoveryenabled no
• wbadmin delete catalog -quiet
• %System%\mshta.exe %Desktop%\info.hta

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdobeIPCBroker = %AppDataLocal%\AdobeIPCBroker.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
AdobeIPCBroker = %AppDataLocal%\AdobeIPCBroker.exe

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\AdobeIPCBroker.exe

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT, C:\Documents and Settings\{Benutzername}\Startmenü\Programme\Autostart unter Windows 2003(32-bit), XP und 2000(32-bit) und C:\Users\{Benutzername}\AppData\Roaming\Microsoft\Windows\Startmenü\Programme\Autostart unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)