Ransom.Win32.SCARAB.PYOBI

Wird ausgeführt und löscht sich dann selbst.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\osk.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• "%System%\cmd.exe" /c copy /y "{Malware Path}\{Malware FileName}.exe" "%Application Data%\osk.exe"; -> Copies file into %Application Data% as file name osk.exe
• "{Malware path}\{Malware Filename}.exe" runas -> rerun malware having arguments that will also drops a copy of self to %Application Data% then execute dropped copy
• mshta.exe "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('{Malware File Name].exe');close()}catch(e){}},10);" -> deletes the malware
• mshta.exe "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('osk.exe').Path;o.RegWrite('HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\TvkxRopEselPI',i);}catch(e){}},10);" -> Creates Registry entry that will run the copy of the malware file.
• mshta.exe "javascript:eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\Software\RA[OB\AGQW['));close();" -> Reads registry entry
• "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0 -> deletes all the system state backups
• "%System%\cmd.exe" /c wmic SHADOWCOPY DELETE -> Deletes shadow copies
• "%System%\cmd.exe" /c vssadmin Delete Shadows /All /Quiet ->delete Shadow Copies
• bcdedit /set {default} bootstatuspolicy ignoreallfailures -> disable system's trigger to call the Error Recovery screen on startup
• bcdedit /set {default} recoveryenabled No -> disable Windows Recovery option

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Wird ausgeführt und löscht sich dann selbst.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• TvkxRopEselPI

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
TvkxRopEselPI = notepad.exe "%User Profile%\HOW TO RECOVER ENCRYPTED FILES.TXT"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
TvkxRopEselPI = %Application Data%\osk.exe

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\TvkxRopEselPI

HKEY_CURRENT_USER\Software\{5 random alphanumeric characters}

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• agntsvc.exe
• agntsvc.exeagntsvc.exe
• agntsvc.exeencsvc.exe
• agntsvc.exeisqlplussvc.exe
• anvir.exe
• anvir64.exe
• ccleaner.exe
• ccleaner64.exe
• cscript.exe
• dbeng50.exe
• dbsnmp.exe
• excel.exe
• far.exe
• firefoxconfig.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• msftesql.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• ncsvc.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• powershell.exe
• procexp.ex
• regedit.exe
• sqbcoreservice.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlserver.exe
• sqlservr.exe
• sqlwriter.exe
• steam.exe
• synctime.exe
• tasklist.exe
• taskmgr.exe
• tbirdconfig.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• wscript.exe
• xfssvccon.exe