Ransom.Win64.RELICPROJ.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Andere Systemänderungen

Löscht die folgenden Dateien:

• d:\$recyclebin\desktop.ini
• d:\$recyclebin\$I63O705.txt
• D:\$RECYCLE.BIN\$R63O705.txt
• D:\$RECYCLE.BIN\$RJRKOLR\bridgelist.h
• D:\$RECYCLE.BIN\$RJRKOLR\dbghelp\dbghelp.h
• D:\$RECYCLE.BIN\$RJRKOLR\lz4\lz4.h
• D:\$RECYCLE.BIN\$RJRKOLR\TitanEngine\TitanEngine.h
• D:\$RECYCLE.BIN\$RJRKOLR\TitanEngine\TitanEngine_x64.a
• D:\$RECYCLE.BIN\$RJRKOLR\TitanEngine\TitanEngine_x64.lib
• D:\$RECYCLE.BIN\$RJRKOLR\XEDParse\XEDParse_x64.a
• D:\$RECYCLE.BIN\$RJRKOLR\_plugin_types.h
• D:\$RECYCLE.BIN\$RJRKOLR\_dbgfunctions.h
• D:\$RECYCLE.BIN\$RJRKOLR\_plugin_types.h
• D:\$RECYCLE.BIN\$RSYAN0F\translations\x64dbg_{language}.qm
• D:\$RECYCLE.BIN\$RSYAN0F\x32\asmjit.dll
• D:\$RECYCLE.BIN\$RSYAN0F\x32\dbghelp.dll
• D:\$RECYCLE.BIN\$RSYAN0F\x32\DeviceNameResolver.dll
• D:\$RECYCLE.BIN\$RSYAN0F\x32\GleeBug
• D:\$RECYCLE.BIN\$RSYAN0F\x32\Scylla.dll

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• sql
• oracle
• dbeng50
• postgres
• isqlplussvc
• toad
• git
• subversion
• svn
• logmein
• teamviewer
• vnc
• tinyvnc
• backup
• s3
• onedrive
• azure
• mail
• outlook
• thunderbird
• firefox
• chrome
• chromium
• winword
• powerpnt
• wordpad
• excel
• msaccess
• onenote
• outlook
• visio
• java
• putty
• git
• cadence
• cad
• allegro
• jira
• processmonitor
• regedit
• ocssd
• procexplorerv
• regedt32
• procexplorerv
• procdump
• mmc
• programaudit
• kaseya
• steam

Datendiebstahl

Folgende Daten werden gesammelt:

• Hostname
• Username
• OS Version
• Service Configurations

Andere Details

Es macht Folgendes:

• It uses wevtutil.exe to clear event logs of each segment of its malicious routine.
• Before encryption, it checks every available folder in available local drives if there are files inside it.
• It retrieves service configurations that are related in managing Windows OS, network connectivity, security, and multimedia:
  • audiosvc
  • bdesvc
  • comsysapp
  • cscservice
  • dcomlaunch
  • dhcp
  • dnscache
  • dot3svc
  • eaphost
  • efs
  • ehrecvr
  • ehsched
  • eventlog
  • eventsystem
  • fax
  • fdphost
  • googlechromeelevationservice
  • gpsvc
  • gupdate
  • gupdatem
  • hidserv
  • hkmsvc
  • homegroupprovider
  • idsvc
  • ikeext
  • ipbusenum
  • iphlpsvc
  • keyiso
  • ktmrm
  • lanmanserver
  • lanmanworkstation
  • lltdsvc
  • mmcss
  • netlogon
  • netman
  • netmsmqactivator
  • nettcpactivator
  • nettcpportsharing
  • p2psvc
  • plugplay
  • power
  • protectedstorage
  • remoteregistry
  • sharedaccess
  • termservice
  • vaultsvc
  • wbengine
  • wcncsvc
  • wdiservicehost
  • wdisystemhost
  • webclient