Ransom.Win32.BLACKMATTER.THGOCBA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• used as wallpaper:
  • %ProgramData%\{appended ransomware extension}.bmp

Agrega los procesos siguientes:

• if -safe is used:
  • bcdedit /set {current} safeboot network

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\{Generated hash based on GUID}

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*{random} = {malware path}\{malware name}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\{appended ransomware extension}
hScreen = {screen height}

HKEY_LOCAL_MACHINE\SOFTWARE\{appended ransomware extension}
wScreen = {screen width}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultUserName = Administrator

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultDomainName = {Computer name}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultPassword = {random string}

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
WallPaper = %ProgramData%\{appended ransomware extension}.bmp

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 10

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• mepocs
• memtas
• veeam
• svc$
• backup
• sql
• vss

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• encsvc
• thebat
• mydesktopqos
• xfssvccon
• firefox
• infopath
• winword
• steam
• synctime
• notepad
• ocomm
• onenote
• mspub
• thunderbird
• agntsvc
• sql
• excel
• powerpnt
• outlook
• wordpad
• dbeng50
• isqlplussvc
• sqbcoreservice
• oracle
• ocautoupds
• dbsnmp
• msaccess
• tbirdconfig
• ocssd
• mydesktopservice
• visio

Robo de información

Recopila los siguientes datos:

• Machine GUID
• Computer name
• Hostname
• Username
• Domain
• OS Architecture
• Language
• Disk information (free size, disk size)
• Total number of files
• Total number of encrypted files

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}hacks.com/{encrypted gathered information}
• http://{BLOCKED}den.com/{encrypted gathered information}

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\{appended ransomware extension} → deleted after execution

Hace lo siguiente:

• If not executed with admin rights, it will relaunch itself as admin
• It encrypts fixed, removable and network drives
• It deletes files in recycle bin folder for removable and fixed drives
• It uses WQL to delete shadow copies
• It attempts logging in to infected machine using the following credentials:
  • Username: {BLOCKED}er@{BLOCKED}p.com
    Password: {BLOCKED}er
  • Username: {BLOCKED}h@{BLOCKED}p.com
    Password: {BLOCKED}19
  • Username: {BLOCKED}r@{BLOCKED}p.com
    Password: {BLOCKED}**