Ransom.MSIL.HAKBIT.C

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• %User Startup%\{renamed malware}.exe
• %System%\cmd.exe /C choice /C Y /N /D Y /T 3 & Del {malware filename}
• "vssadmin.exe" resize shadowstorage /for={Drive Letter}: /on={Drive Letter}: /maxsize=401MB
• "vssadmin.exe" resize shadowstorage /for={Drive Letter}: /on={Drive Letter}: /maxsize=unbounded
• %System%\notepad.exe %Desktop%\HELP_ME_RECOVER_MY_FILES.txt
• %User Temp%\{random}.exe m=psexec -i={host ip address} -d={target ip address} -f=%User Startup%\{randomly picked name}.exe -e=%User Temp%\{random}.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Se ejecuta y, a continuación, se elimina.

Deja archivos de texto a modo de notas de rescate que contienen lo siguiente:

• %Desktop%\HELP_ME_RECOVER_MY_FILES.txt
• {Directories With Encrypted Files}\HELP_ME_RECOVER_MY_FILES.txt
• 

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• {Malware Name}.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• {Files to be encrypted}

Rutina de descarga

Este malware descarga el archivo desde la siguiente URL y le cambia el nombre al almacenarlo en el sistema afectado:

• https://raw.{BLOCKED}usercontent.com/anthemtotheego/SharpExec/master/CompiledBinaries/SharpExec_x86.exe

Otros detalles

It connects to the following possibly malicious URL:

• hor.{BLOCKED}lus.cloudapp.{BLOCKED}e.com

Hace lo siguiente:

• List of names the malware uses
  • lsass.exe
  • svchst.exe
  • crcss.exe
  • chrome32.exe
  • firefox.exe
  • calc.exe
  • mysqld.exe
  • dllhst.exe
  • opera32.exe
  • memop.exe
  • spoolcv.exe
  • ctfmom.exe
  • SkypeApp.exe