Ransom.Win32.MAZE.AC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Emite un pitido.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %All Users Profile%\memes.tmp

Agrega los procesos siguientes:

• wmic shadowcopy delete

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\{random characters} -> string is generated from system information

Otras modificaciones del sistema

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\111.bmp

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• ida.exe
• ida64.exe
• x32dbg.exe
• x64dbg.exe
• python.exe
• fiddler.exe
• dumpcap.exe
• procmon.exe
• procexp.exe
• procmon64.exe
• procexp64.exe

Robo de información

Recopila los siguientes datos:

• User Name
• Computer Name
• Process Integrity Level
• Installed AVs
• OS Name
• Machine Role
• Number of Drives
• Shared Folders
• User Language
• System Language
• System Uptime

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{IP}/{Strings}/{Random String}.{Extensions} where
  • IP:
    • {BLOCKED}.{BLOCKED}.114.4
    • {BLOCKED}.{BLOCKED}.114.11
    • {BLOCKED}.{BLOCKED}.114.25
    • {BLOCKED}.{BLOCKED}.114.26
    • {BLOCKED}.{BLOCKED}.114.31
    • {BLOCKED}.{BLOCKED}.114.32
    • {BLOCKED}.{BLOCKED}.114.37
    • {BLOCKED}.{BLOCKED}.114.38
    • {BLOCKED}.{BLOCKED}.114.77
    • {BLOCKED}.{BLOCKED}.114.79
  • Strings:
    • news
    • login
    • register
    • logout
    • edit
    • content
    • private
    • messages
    • account
    • view
    • webauth
    • webaccess
    • archive
    • forum
    • post
    • signin
    • signout
    • update
    • support
    • ticket
    • task
    • tracker
    • analytics
    • check
    • checkout
    • payout
    • withdrawal
    • sepa
    • create
    • transfer
    • wire
  • Extensions :
    • .php
    • .asp
    • .aspx
    • .cgi
    • .jsp
    • .jspx
    • .action
    • .html
    • .phtml
    • .shtml

Otros detalles

Emite un pitido.

Hace lo siguiente:

• It detects the role of the machine infected and displays the appropriate string in the wallpaper:
  • standalone server
  • server in corporate network
  • workstation in corporate network
  • home computer
  • primary domain controller
  • backup server
  • very valuable for you
• It uses Windows Text-to-Speech functionality to play the following message:
  • {Username}! Alert! {Username}! Alert! Dear {Username}, your files have been encrypted by Maze Ransomware! Attention! You need to buy decryptor in order to restore the files.