Ransom.Win32.CRING.C

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• {Malware Filepath}\Go.bat "{Malware Filepath}\{Malware Filename}.exe"
• wmic shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• {Malware Filepath}\killme.bat "{Malware Filepath}\{Malware Filename}.exe"

Se ejecuta y, a continuación, se elimina.

Otras modificaciones del sistema

Elimina los archivos siguientes:

• {Malware Filepath}\Go.bat
• {Malware Filepath}\killme.bat
• • {Drive Letter} are the following:
    • D:\
    • E:\
    • F:\
    • G:\
    • H:\
  • {Filename} are files that satisfies the following filters:
    • *.VHD
    • *.bac
    • *.bak
    • *.wbcat
    • *.bkf
    • *.set
    • *.win
    • *.dsk
    • Backup*.*
    • backup*.*

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• Services that start with:
  • mssql
  • sql
  • postgresql
  • oracle
  • mysql
  • veeam
  • backup
  • msexchange

Rutina de infiltración

Infiltra los archivos siguientes:

• {Malware Filepath}\Go.bat
• {Malware Filepath}\killme.bat

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .xlsx
• .png
• .fob
• .jp?
• .lic
• .dcm
• .cf?
• .rvt
• .cpp
• .qb?
• .cs
• .sln
• .vb
• .xml
• .dwg
• .edb
• .ndf
• .wk
• .xl?
• .txt
• .doc?
• .md?
• mp?
• .sql
• .bak
• .ora
• .pdf
• .pp?
• .dbf
• .zip
• .rar
• .asp?
• .php
• .jsp?
• .bk?
• .csv
• .7z
• .myd
• .ibd
• _fsm
• _vm
• .db?
• .rpt

Hace lo siguiente:

• Argument must be equal to "rsa" to proceed in encrypting files
• It writes the following to the command prompt:
  • "What the FUck" → before the encryption routine
  • "EZ Games" → after the encryption routine