Ransom.Win32.GANDCRAB.THCBIAI

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Puede haberlo descargado el siguiente malware/grayware/spyware desde sitios remotos:

• downloaded and executed in memory by Trojan.BAT.GANDCRAB.THCBIAI

Instalación

Infiltra los archivos siguientes:

• {Encrypted Folder}\{Random}-MANUAL.txt
• %User Temp%\bxmeoengtf.bmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• AversSucksForever

Otras modificaciones del sistema

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• wordpad.exe
• xfssvccon.exe
• agntsvc.exe
• dbeng50.exe
• dbsnmp.exe
• encsvc.exe
• excel.exe
• firefoxconfig.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• msftesql.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• sqbcoreservice.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlservr.exe
• sqlwriter.exe
• steam.exe
• synctime.exe
• tbirdconfig.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe

Robo de información

Recopila los siguientes datos:

• Username
• Computer Name
• Network Information
• System Language
• Machine Keyboard Layout
• OS Version and Platform
• AV Products Installed
• Processor Information
• IP Address
• Drives Information (Nerwork or Local)
• Ransom ID
• GandCrab Internal Info:
  
  • id
  • sub_id
  • version
  • action

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{URL}/{string1}/{string2}/{string3}.{string4}
• Where URL is equal to the following:
  • www.belvedere-locarno.com
  • www.hotelfarinet.com
  • www.hrk-ramoz.com
  • www.morcote-residenza.com
  • www.seitensprungzimmer24.com
  • www.arbezie-hotel.com
  • www.aubergemontblanc.com
  • www.torhotel.com
  • www.alpenlodge.com
  • www.aparthotelzurich.com
  • www.bnbdelacolline.com
  • www.elite-hotel.com
  • www.bristol-adelboden.com
  • www.nationalzermatt.com
  • www.waageglarus.com
  • www.limmathof.com
  • www.apartmenthaus.com
  • www.berginsel.com
  • www.chambre-d-hote-chez-fleury.com
  • www.hotel-blumental.com
  • www.facebook.com
  • www.la-fontaine.com
  • www.mountainhostel.com
  • www.hotelalbanareal.com
  • www.geneva.frasershospitality.com
  • www.luganohoteladmiral.com
  • www.bellevuewiesen.com
  • www.hoteltruite.com
  • www.hotelgarni-battello.com
  • www.seminarhotel.com
  • www.kroneregensberg.com
  • www.puurehuus.com
  • www.hotel-zermatt.com
  • www.stchristophesa.com
  • www.nh-hotels.com
  • www.schwendelberg.com
  • www.stalden.com
  • www.vignobledore.com
  • www.eyholz.com
  • www.flemings-hotel.com
  • www.hiexgeneva.com
  • www.petit-paradis.com
  • www.berghaus-toni.com
  • www.hotelglanis.com
  • www.16eme.com
  • www.staubbach.com
  • www.samnaunerhof.com
  • www.airporthotelbasel.com
  • www.elite-biel.com
  • www.aubergecouronne.com
  • www.le-saint-hubert.com
  • www.bonmont.com
  • www.cm-lodge.com
  • www.experimentalchalet.com
  • www.guardagolf.com
  • www.hotelchery.com
  • www.ibis.com
  • www.mercure.com
  • www.hotelolden.com
  • www.facebook.com
  • www.huusgstaad.com
  • www.hotelrotonde.com
  • www.relais-crosets.com
  • www.lerichemond.com
  • www.hotellido-lugano.com
  • www.alimentarium.org
  • www.vitatertia.org
  • www.lassalle-haus.org
  • www.dermann.org
  • www.neuhof.org
  • www.osteriadelcentro.net
  • www.cantinesurcoux.net
  • www.lacommune.net
  • www.hoteldreirosen.net
  • www.hoteldreirosen.net
  • www.hoteldreirosen.net
  • www.disch.mehrmarken.net
  • www.gemperle.net
  • www.garage-schwyn.mehrmarken.net
  • www.ueberland-garage.mehrmarken.net
  • www.calisto.net
  • www.r-coiffure.net
  • www.kreatifs.net
  • www.nett-coiffure.ch
  • www.salon-coiffure-geneve.net
  • www.farbecht.net
  • www.haaratelier.net
  • www.von-arx.net
  • www.celi-vegas-avocats.net
  • www.ihr-zimmermann.net
  • www.kakaocorp.name
• Where string1 is equal to the following:
  • wp-content
  • statis
  • content
  • includes
  • data
  • uploads
  • news
• Where string2 is equal to the following:
  • images
  • pictures
  • image
  • graphic
  • assets
  • pics
  • imgs
  • tmp
• Where string3 is equal to the combination of the following:
  • im
  • de
  • ka
  • ke
  • am
  • es
  • so
  • fu
  • se
  • da
  • he
  • ru
  • me
  • mo
  • th
  • zu
• Where string4 is equal to the following:
  • jpg
  • png
  • gif
  • bmp