Ransom.MSIL.ROBTOR.THLADBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• cmd.exe /c taskkill /IM {Malware Name} /F && del \ {Malware File Path}
• Notepad.exe "%Desktop%\RobCryptor.txt"

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Técnica de inicio automático

Infiltra los archivos siguientes:

• {Removable Drive}:\autorun.inf

Propagación

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {Removable Drive}:\RobCryptor.exe → Copy of itself

Robo de información

Recopila los siguientes datos:

• IP Address
• Username
• If Machine is 64-bit
• Total RAM
• Available Memory
• OS Version
• Lists of Disks
• OS Build
• Registered Owner

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• https://{BLOCKED}d.com/api/webhooks/874832445508300811/_sh8CNQu_kjOYMptw-3i8n1wXSvRHgeULe04wHSodhpCd5o_LFoTugCEkUYE-uC0PuIX

Otros detalles

Hace lo siguiente:

• It terminates itself if any of the following are satisfied
  • If the MD5 Hashed username matches the following hash:
  • d199ae63b2b2e6c7bd8229faf10821e4 → ezzal
  • If the following strings are found on the system information:
  • VIRTUAL
  • vmware
  • VirtualBox
• It displays its ransom note after encryption